CVE-2020-8250: Повышение привилегий через внедрение команд в Pulse Secure VPN Linux Client

Исполняемый файл pulsesvc с SUID-битом root имеет функцию “do_upload”, которая небезопасно передаёт переменную окружения “HOME” в “system()”. Изменяя переменную “HOME” так, чтобы она содержала специальные shell-символы (например: “``” или “$()”), атакующий может внедрить произвольные команды при вызове “do_upload” и повысить свои привилегии до root.

Раскрытие NVD:

Раскрытие NVD для этой уязвимости можно найти здесь.

Требования:

Эксплойт нацелен на код, к которому обращаются после аутентификации клиента, что означает, что для эксплуатации этой уязвимости атакующему потребуется один из трёх сценариев:

• Размещение управляемого атакующим Pulse VPN Server
• Действительный SSL/TLS-сертификат для размещения фиктивного VPN-сервера (можно легко получить с помощью таких решений, как “Let’s Encrypt”)
• Подключение к легитимному Pulse VPN Server (учётные данные пользователя/клиентские сертификаты могут быть найдены непосредственно на скомпрометированном клиенте)

Доказательство концепции:

Более подробные сведения и процесс эксплуатации можно найти в этом PDF.