Hekate - VMWare Workspace ONE Access 远程代码执行漏洞利用

奇虎360漏洞研究所的 Steven Seeley
原始恶意 MySQL 服务器由 LandGrey 提供

Details

Hekate 的发音为 heh-ka-teh
日期：2022年2月22日星期二 13:37:00 CST
版本：21.08.0.1（最新）
文件：identity-manager-21.08.0.1-19010796_OVF10.ova
文件 SHA1：69e9fb988522c92e98d2910cc106ba4348d61851
更多技术细节：https://srcincite.io/blog/2022/08/11/i-am-whoever-i-say-i-am-infiltrating-vmware-workspace-one-access-using-a-0-click-exploit.html

Summary

未经身份验证的攻击者可以针对 vIDM 设备触发以 root 身份执行的远程代码执行。此外，攻击者可以向受害操作员发送特制链接，一旦点击该链接，即可针对 vIDM 设备实现以 root 身份执行的远程代码执行。

Notes

此漏洞利用中的漏洞利用了 VMWare Workspace ONE Access 的默认配置
此仓库包含两个不同的漏洞利用程序，分别利用两种不同的利用技术：
- MySQL JDBC Driver autoDeserialize
- PostgreSQL JDBC Driver socketFactory
PostgreSQL 攻击技术有一个额外优势，即它不需要 Java 反序列化 gadget 即可进行利用（即使默认情况下存在一个 gadget）。另一个优势是，你可以使用 licensecheck-1.1.5.jar 库在 com.vmware.licensecheck.LicenseChecker 类中触发反序列化，这样就无需带外攻击。有关该技术的具体 poc，请参阅。
此漏洞利用中利用的第 4 个漏洞类似于曾在野外被利用的 CVE-2020-4006。此漏洞利用的优势在于：
- 该漏洞影响 443 端口，该端口很可能对外开放，而 CVE-2020-4006 影响 8443 端口，该端口不太可能对外开放。
- CVE-2020-4006 无法通过跨站请求伪造触发，因为 X-Vk 头是预期的，并且会对传入请求进行验证。
- CVE-2020-4006 没有与其他漏洞链式组合以实现未经身份验证的 root 访问。
此漏洞利用使用了 5 个漏洞来实现 0-click 和 1-click 远程代码执行，具体细节将在下面介绍。
1. OAuth2TokenResourceController ACS 身份验证绕过 (CVE-2022-22956)
  
  CVSS: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) 此漏洞允许远程、未经身份验证的攻击者绕过身份验证机制并执行任何操作。
2. BrandingResource getBranding 信息泄露 (CVE-2022-22961)
  
  CVSS: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N) 此漏洞允许远程、未经身份验证的攻击者泄露目标系统的主机名，该主机名可在客户端攻击场景中用于确定攻击目标。
3. DBConnectionCheckController dbCheck 跨站请求伪造 (CVE-2022-22959)
  
  CVSS: 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) 此漏洞允许攻击者诱使用户验证他们本不打算验证的任意 JDBC URI。
4. DBConnectionCheckController dbCheck JDBC 注入远程代码执行 (CVE-2022-22957)
  
  CVSS: 9.1 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H) 此漏洞允许攻击者反序列化任意 Java 对象，从而实现远程代码执行。
5. publishCaCert 和 gatherConfig 权限提升 (CVE-2022-22960)
  
  CVSS: 8.8 (AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) 此漏洞允许具有 uid 1001 的本地攻击者将其权限提升至 root 访问权限。

Example

使用 PostgreSQL JDBC 驱动程序漏洞利用攻击服务端：

服务端攻击场景

使用 MySQL JDBC 驱动程序漏洞利用攻击客户端：

客户端攻击场景

hekate

最受欢迎