CVE-2018-5354

Повышение привилегий/RCE через клиент сброса пароля ANIXIS

Информация

Вендор: ANIXIS
Продукт: ANIXIS Password Reset Client
Затронутые версии: До версии 3.22
Исследователь: Jason Juntunen, он же @missing0x00 (https://github.com/missing0x00)
CVSS: 8.8

Описание

Пользовательский модуль GINA/CP в продукте ANIXIS Password Reset Client до версии 3.22 позволяет удалённым злоумышленникам выполнять код и повышать привилегии через спуфинг. Когда клиент настроен на использование HTTP, он не аутентифицирует целевой сервер перед открытием окна браузера. Неаутентифицированный злоумышленник, способный провести атаку спуфинга, может перенаправить браузер для получения выполнения в контексте процесса WinLogon.exe. Если сетевая аутентификация на уровне сети (NLA) не применяется, уязвимость может быть использована через RDP.

Доказательство концепции

1. Проведите атаку спуфинга любым доступным методом (ARP, физический доступ и т.д.), перенаправляя трафик, предназначенный для целевого сервера сброса пароля
2. Запустите веб-сервер на атакующем хосте, обслуживая бинарный файл-заглушку с именем pwreset
3. Подключитесь по RDP к целевому хосту (если NLA не применяется - в противном случае эта атака требует физического доступа)
4. Нажмите ссылку или плитку "Сбросить пароль" на экране входа
5. Встроенный клиентский браузер будет перенаправлен на веб-сервер атакующего хоста, откроется диалог загрузки файла
6. Нажмите "Сохранить", откроется диалог проводника файлов
7. Shift+Правый клик > "Открыть окно команд здесь"

Устранение

Обновите клиентское программное обеспечение на всех затронутых устройствах. Эта уязвимость была исправлена в версии клиента 3.22 (29 января 2018 г.). Кроме того, убедитесь, что сервер и клиент настроены на использование HTTPS с действительным сертификатом.

Ссылки

ID вендора: APRSA005
Ссылка на вендора: https://anixis.com/products/apr/default.htm
Ссылка на раскрытие: https://github.com/missing0x00/CVE-2018-5354
Ссылка NIST CVE: https://nvd.nist.gov/vuln/detail/CVE-2018-5354
Калькулятор CVSS: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Отказ от ответственности

Информация, содержащаяся в данном уведомлении, предоставляется «как есть» без каких-либо гарантий пригодности к использованию или иных. Настоящим предоставляется разрешение на распространение данного уведомления при условии, что оно не изменяется, за исключением переформатирования, и при условии указания авторства. Явно даётся разрешение на включение в базы данных уязвимостей и подобные, при условии указания авторства. Автор не несёт ответственности за любое неправильное использование информации, содержащейся здесь, и не принимает на себя ответственности за любой ущерб, причинённый использованием или неправильным использованием этой информации. Автор запрещает любое злонамеренное использование информации, связанной с безопасностью, или эксплойтов автором или кем-либо ещё.

missingnull