漏洞标题: OpenVPN Connect for Windows (MSI) - 3.1.0.361 - 权限提升

日期: 2020-02-28
作者: Andrew Hess
软件链接: https://openvpn.net/client-connect-vpn-for-windows/
版本: 3.1.0.361 (MSI)
CVE: CVE-2020-9442

历史

2019.12.15 - 发现漏洞
2019.12.15 - 首次联系供应商
2020.01.xx - 供应商补丁 - 3.1.1 (378) beta

3.1.1 (378) beta 版本发布说明

实施了对安装文件位置相关安全问题的修复

软件描述

这是由 OpenVPN Inc. 开发和维护的 Windows 工作站平台官方 OpenVPN Connect 客户端软件。这是 OpenVPN Access Server 推荐的客户端程序，用于为 Windows 启用 VPN。最新版本的 Windows 版 OpenVPN 可在我们的网站上获取。

如果您拥有 OpenVPN Access Server，建议直接从您自己的 Access Server 下载 OpenVPN Connect 客户端软件，因为它将预配置用于 Windows 版 VPN。此处提供的版本不包含用于建立连接的配置，但可用于更新现有安装并保留设置。

漏洞利用描述

C:\ProgramData\OpenVPN Connect 中宽松的文件夹权限允许不具有管理员权限的攻击者在 tapinstall.exe 旁边放置恶意 DLL。一旦安装或升级 OpenVPN 客户端，tapinstall 将加载恶意 DLL 并执行 shellcode。

tapinstall 搜索的 DLL：

DEVRTL.dll SPINF.dll drvstore.dll DEVOBJ.dll newdev.dll VCRUNTIME140.dll

复现步骤

• 将恶意 drvstore.dll 放入 C:\ProgramData\OpenVPN Connect\drivers\tap\amd64\win10
• 安装 openvpn-connect-3.1.0.361_signed.msi
• 以 SYSTEM 账户权限执行 shellcode

影响

潜在攻击者获得系统权限