0
0
O código de exploração de prova de conceito (PoC) para a vulnerabilidade de alta gravidade (CVE-2023-20178) no Cisco Secure Client Software para Windows e no Cisco AnyConnect Secure Mobility Client Software para Windows foi publicado.
Sobre a vulnerabilidade
O Cisco Secure Client Software – anteriormente conhecido como Cisco AnyConnect Secure Mobility Client – é um software de segurança de endpoint unificado projetado para ajudar as empresas a expandir seus recursos de acesso à rede e permitir que funcionários remotos se conectem por meio de conexões com e sem fio, incluindo VPN.
No início de junho, a Cisco publicou um comunicado de segurança sobre CVE-2023-20178, uma vulnerabilidade no processo de atualização do cliente do Cisco AnyConnect Secure Mobility Client Software para Windows e do Cisco Secure Client Software para Windows.
“Esta vulnerabilidade existe porque permissões impróprias são atribuídas a um diretório temporário que é criado durante o processo de atualização. Um invasor pode explorar essa vulnerabilidade abusando de uma função específica do processo do Windows installer. Uma exploração bem-sucedida pode permitir que o invasor execute código com privilégios SYSTEM”, revelou o comunicado da Cisco.
A vulnerabilidade foi relatada pelo pesquisador de segurança Filip Dragović. Como não há soluções alternativas, os usuários foram aconselhados a atualizar o software o mais rápido possível, para o AnyConnect Secure Mobility Client para Windows 4.10MR7 ou Cisco Secure Client Software para Windows 5.0MR2.
A falha não afeta o Cisco AnyConnect Secure Mobility Client e o Cisco Secure Client para Linux e macOS, nem o Cisco Secure Client-AnyConnect para Android e iOS.
CVE-2023-20178 PoC
Na quinta-feira, a Cisco confirmou que um exploit PoC foi publicado pelo mesmo pesquisador. Dragović testou o PoC no Cisco Secure Client 5.0.01242 e no Cisco AnyConnect 4.10.06079.
“Quando um usuário se conecta ao vpn, vpndownloader.exe processo é iniciado em segundo plano e ele criará um diretório em c:\windows\temp com permissões padrão no seguinte formato: .tmp“, explicou Dragović.
“Depois de criar este diretório vpndownloader.exe irá verificar se esse diretório está vazio e se não estiver, ele irá excluir todos os arquivos / diretórios lá. Esse comportamento pode ser abusado para executar a exclusão arbitrária de arquivos como conta NT Authority\SYSTEM.”
A vulnerabilidade é fácil de armar, mas os invasores devem primeiro obter acesso ao sistema alvo por outros meios para poder explorá-la e elevar seus privilégios (inicialmente baixos).
FONTE: HELPNET SECURITY