CVE-2018-5354

ANIXIS密码重置客户端权限提升/远程代码执行

信息

供应商: ANIXIS
产品: ANIXIS密码重置客户端
受影响版本: 3.22之前版本
研究人员: Jason Juntunen 又名 @missing0x00 (https://github.com/missing0x00)
CVSS: 8.8

描述

ANIXIS密码重置客户端3.22之前版本中的自定义GINA/CP模块允许远程攻击者通过欺骗执行代码和提升权限。 当客户端配置为使用HTTP时，它在打开浏览器窗口之前不会验证目标服务器。能够进行欺骗攻击的未认证攻击者可以重定向浏览器，以在WinLogon.exe进程的上下文中获得执行。如果未强制实施网络级身份验证，则可以通过RDP利用该漏洞。

概念验证

1. 使用任何可用方法（ARP、物理访问等）进行欺骗攻击，将原本指向目标密码重置服务器的流量重定向
2. 在攻击主机上运行web服务器，提供名为pwreset的二进制垃圾文件
3. RDP到目标主机（如果未强制实施NLA——否则此攻击需要物理访问）
4. 点击登录屏幕上的"Reset Password"链接或磁贴
5. 内置客户端浏览器将被重定向到攻击主机上的web服务器，打开文件下载对话框
6. 点击Save，打开文件资源管理器对话框
7. Shift+右键单击 > "Open command window here"

补救措施

更新所有受影响设备上的客户端软件。该漏洞已在客户端版本3.22（2018年1月29日）中修复。此外，确保服务器和客户端配置为使用带有有效证书的HTTPS。

参考

供应商ID: APRSA005
供应商链接: https://anixis.com/products/apr/default.htm
披露链接: https://github.com/missing0x00/CVE-2018-5354
NIST CVE链接: https://nvd.nist.gov/vuln/detail/CVE-2018-5354
CVSS计算器: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

免责声明

本公告中包含的信息按“原样”提供，不提供任何明示或暗示的担保或保证。允许重新分发本公告，前提是不对其进行更改（除重新格式化外），并给予适当的致谢。明确允许将其插入漏洞数据库和类似平台，前提是给予作者适当的致谢。作者不对本文所含信息的任何滥用负责，也不对因使用或误用这些信息所造成的任何损害承担责任。作者禁止任何恶意使用安全相关信息或利用（无论是作者本人还是其他来源）。

missingnull