CVE-2020-8250：通过命令注入在 Pulse Secure VPN Linux 客户端中实现权限提升

root SUID 可执行文件 pulsesvc 中有一个名为“do_upload”的函数，该函数会不安全地将“HOME”环境变量传递给“system()”。通过将“HOME”变量修改为包含特殊 shell 字符（例如：“``”或“$()”），攻击者可以在调用“do_upload”时注入任意命令，并将其权限提升至 root。

NVD 披露：

该漏洞的 NVD 披露可在此处查看。

要求：

该漏洞利用针对的是客户端认证后才会访问到的代码，这意味着要利用此漏洞，攻击者需要满足以下 3 种场景之一：

• 托管一个由攻击者控制的 Pulse VPN 服务器
• 拥有有效的 SSL/TLS 证书来托管一个伪造的 VPN 服务器（可通过“Let’s Encrypt”等解决方案轻松实现）
• 连接到合法的 Pulse VPN 服务器（用户凭据/客户端证书可能直接在被入侵的客户端上找到）

概念验证：

更多详细信息及利用过程可在此 PDF 中查看。