Explotación de errores de Cisco AnyConnect lanzada en la naturaleza

Un investigador de seguridad ha publicado un exploit de prueba de concepto (POC) para una vulnerabilidad de alta gravedad recién parcheada en el software cliente de Cisco para trabajadores remotos que se conectan a VPN.

El error (CVE-2023-20178) es una vulnerabilidad de eliminación aleatoria de archivos en el software Cisco AnyConnect Secure Mobility Client para Windows y el software Cisco Secure Client para Windows que podría permitir a los atacantes autenticados aprovechar los permisos sin ampliar la interacción del usuario al nivel del SISTEMA.

Como explicó Cisco en su Aviso de parche a principios de este mes: «Una vulnerabilidad en el proceso de actualización del cliente podría permitir que un atacante local autenticado con privilegios bajos eleve los privilegios a los del SISTEMA. El proceso de actualización del cliente se ejecutará después de que se establezca una conexión VPN exitosa».

El investigador de seguridad Filip Dragović ha publicado un exploit que permite precisamente esto a través de una cuenta pública. Publicación de GitHub esta semana. Utiliza un proceso llamado «vpndownloader.exe» que se inicia en segundo plano cuando un usuario se conecta a una VPN mediante el software Cisco Secure o AnyConnect.

«Se creará un directorio en c:\windows\temp con permisos predeterminados», explicó Dragović, quien originalmente descubrió el error y lo informó a Cisco. «Después de crear este directorio, vpndownloader.exe verificará si este directorio está vacío. Si este no es el caso, borra todos los archivos/directorios que contiene. Se puede abusar de este comportamiento para realizar eliminaciones arbitrarias de archivos como la cuenta NT Authority\SYSTEM».

Después de eso, Los atacantes cibernéticos pueden usar una táctica conocida para crear un shell SYSTEM para abusar del comportamiento de Windows Installer y la elevación de privilegios, agregó.

Las empresas deben parchear a sus clientes de inmediato. Si bien Cisco no identificó ninguna vulnerabilidad conocida en el momento de la aplicación de parches, es probable que esto cambie rápidamente una vez que esté en circulación un PoC. La explotación exitosa «no es compleja», según el investigador, y el software tiene una Historial de ataques de ciberatacantes quiere hacerse cargo de las sesiones VPN ricas en datos.