Um pesquisador de segurança publicou um código de prova de conceito (PoC) direcionado a uma vulnerabilidade de alta gravidade corrigida recentemente no Cisco AnyConnect Secure Mobility Client e no Secure Client para Windows.
O software permite que funcionários remotos se conectem à rede de uma organização usando uma rede privada virtual (VPN) segura e fornece recursos de monitoramento.
Rastreado como CVE-2023-20178 (pontuação CVSS de 7,8), o defeito de segurança afeta o processo de atualização do cliente do software, permitindo que um invasor local com poucos privilégios eleve seu acesso e execute código com privilégios de sistema.
“Essa vulnerabilidade existe porque permissões impróprias são atribuídas a um diretório temporário criado durante o processo de atualização. Um invasor pode explorar essa vulnerabilidade abusando de uma função específica do processo de instalação do Windows”, explica a Cisco em um comunicado.
Em geral, este é um problema de exclusão de pasta arbitrária que pode ser acionado durante o processo de atualização de software, quando uma pasta temporária é criada para armazenar cópias de arquivos que estão sendo modificados, para permitir uma reversão caso o processo de instalação não seja concluído.
Um invasor com conhecimento dessa pasta temporária pode executar uma exploração contendo um arquivo executável projetado para iniciar um processo de atualização, mas acionar uma reversão no meio do caminho. Ao mesmo tempo, a exploração tenta continuamente substituir o conteúdo da pasta temporária por arquivos maliciosos.
Depois que o processo de atualização é interrompido, o Windows tenta restaurar os arquivos na pasta temporária para seu local original, mas, em vez disso, consome o conteúdo malicioso do invasor.
Esta semana, o pesquisador de segurança Filip Dragovic, que relatou o CVE-2023-20178 à Cisco, lançou um PoC que funciona de maneira semelhante, acionando uma exclusão arbitrária de arquivo com privilégios do sistema.
O pesquisador diz que testou o PoC no Secure Client versão 5.0.01242 e no AnyConnect Secure Mobility Client versão 4.10.06079. Apenas as iterações do Windows do software são afetadas.
A Cisco abordou o CVE-2023-20178 no início de junho com o lançamento do AnyConnect Secure Mobility Client versão 4.10.07061 e do Secure Client versão 5.0.02075.
:
: