Proof-of-Concept publicat pentru o vulnerabilitate din cadrul Cisco AnyConnect Secure

Recent, a fost publicat un cod de tip proof-of-concept (PoC) care vizează o vulnerabilitate critică remediată recent în cadrul Cisco AnyConnect Secure Mobility Client și Cisco Secure Client pentru Windows.

Identificată ca CVE-2023-20178 (scor CVSS de 7,8), vulnerabilitatea afectează procesul de actualizare a aplicației client, permițând unui atacator local cu privilegii reduse să ruleze cod cu privilegii ridicate.

Conform Cisco, această vulnerabilitate se datorează unei atribuiri de permisiuni necorespunzătoare unui director temporar creat în timpul procesului de actualizare, iar o persoană rău-intenționată ar putea exploata această vulnerabilitate prin intermediul unei funcții specifice procesului de instalare Windows.

În principiu, vulnerabilitatea permite ștergererea unui dosar arbitrar, acțiune ce poate fi declanșată în timpul procesului de actualizare al aplicației, atunci când este creat un folder temporar pentru a stoca o copie a fișierelor modificate, ce permite restaurarea aplicației în cazul în care procesul de instalare nu este finalizat.

Un atacator care are cunoștință despre această vulnerabilitate, poate rula un exploit care conține un fișier executabil conceput pentru a lansa un proces de actualizare, dar care declanșează o revenire la starea inițială la mijlocul procesului. În același timp, exploitul încearcă în mod continuu să înlocuiască conținutul dosarului temporar cu fișiere malițioas. Atunci când procesul de actualizare se oprește, sistemul de operare va încerca să readucă fișierele din dosarul temporar în locația inițială, accesând astfel conținutul malițios al atacatorului.

Specialistul care a raportat vulnerabilitatea, a publicat și un Proof-of-Concept care funcționează într-un mod similar. Acesta a declarat că a testat codul pe Cisco Secure Client versiunea 5.0.01242 și Cisco AnyConnect Secure Mobility Client versiunea 4.10.06079.

Doar versiunile Windows ale software-ului sunt afectate.

Compania Cisco a remediat vulnerabilitatea CVE-2023-20178 la începutul lunii iunie, odată cu lansarea versiunii 4.10.07061 AnyConnect Secure Mobility Client și a versiunii 5.0.02075 Secure Client.

Sursă: https://www.securityweek.com/poc-exploit-published-for-cisco-anyconnect-secure-vulnerability/