Hekate - Эксплойт удаленного выполнения кода для VMWare Workspace ONE Access

• Стивен Сили из Института исследования уязвимостей Qihoo 360
• Оригинальный мошеннический MySQL-сервер от LandGrey

Детали

• Hekate произносится как хе-ка-тэ
• Дата: Tue Feb 22 13:37:00 CST 2022
• Версия: 21.08.0.1 (последняя)
• Файл: identity-manager-21.08.0.1-19010796_OVF10.ova
• SHA1 файла: 69e9fb988522c92e98d2910cc106ba4348d61851
• Дополнительные технические сведения: https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

Краткое описание

Неаутентифицированный злоумышленник может инициировать удаленное выполнение кода с правами root на устройстве vIDM. Кроме того, злоумышленник может отправить оператору-жертве специально сформированную ссылку, при переходе по которой может быть достигнуто удаленное выполнение кода с правами root на устройстве vIDM.

Примечания

• Уязвимости, используемые в этом эксплойте, задействуют конфигурацию VMWare Workspace ONE Access по умолчанию

• Этот репозиторий содержит два различных эксплойта, использующих две разные техники эксплуатации:

  • MySQL JDBC Driver autoDeserialize
  • PostgreSQL JDBC Driver socketFactory

  Техника атаки на PostgreSQL имеет дополнительное преимущество: для эксплуатации не требуется Java-гаджет десериализации (хотя такой гаджет присутствует по умолчанию). Ещё одно преимущество: можно использовать библиотеку licensecheck-1.1.5.jar, чтобы вызвать десериализацию в классе com.vmware.licensecheck.LicenseChecker и тем самым обойтись без внеполосной (out-of-band) атаки. Подробнее см. соответствующий poc для этой техники.

• Четвертая уязвимость, используемая в этом эксплойте, аналогична CVE-2020-4006, которая применялась в реальных атаках. Преимущества этого эксплойта заключаются в следующем:

  • Ошибка затрагивает порт 443, который, скорее всего, доступен извне, в отличие от CVE-2020-4006, которая затрагивает порт 8443 и вряд ли доступна извне.
  • CVE-2020-4006 нельзя было вызвать через межсайтовую подделку запроса (CSRF), поскольку заголовок X-Vk ожидается и проверяется во входящем запросе.
  • CVE-2020-4006 не связывалась с дополнительными уязвимостями для получения неаутентифицированного root-доступа.

  Этот эксплойт использует 5 уязвимостей для достижения удаленного выполнения кода в 0 кликов и в 1 клик, что подробно описано ниже.

  1. Обход аутентификации ACS в OAuth2TokenResourceController (CVE-2022-22956)

     CVSS: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) Эта уязвимость позволяет удаленному неаутентифицированному злоумышленнику обойти механизм аутентификации и выполнить любые операции.

  2. Раскрытие информации getBranding в BrandingResource (CVE-2022-22961)

     CVSS: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) Эта уязвимость позволяет удаленному неаутентифицированному злоумышленнику получить имя хоста целевой системы, которое может использоваться для нацеливания на жертв в сценарии атаки на стороне клиента.

  3. Межсайтовая подделка запроса dbCheck в DBConnectionCheckController (CVE-2022-22959)

     CVSS: 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) Эта уязвимость позволяет злоумышленнику склонить пользователей к проверке произвольных JDBC URI, которые они не собирались проверять.

  4. Удаленное выполнение кода через JDBC-инъекцию dbCheck в DBConnectionCheckController (CVE-2022-22957)

     CVSS: 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) Эта уязвимость позволяет злоумышленнику десериализовать произвольные Java-объекты, что может привести к удаленному выполнению кода.

  5. Повышение привилегий через publishCaCert и gatherConfig (CVE-2022-22960)

     CVSS: 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) Эта уязвимость позволяет локальному злоумышленнику с uid 1001 повысить свои привилегии до root-доступа.

Пример

Атака на стороне сервера с использованием эксплойта PostgreSQL JDBC driver:

Атака на стороне клиента с использованием эксплойта MySQL JDBC driver: