El exploit público ahora está disponible para el cliente Cisco AnyConnect VPN

Esta semana se lanzó públicamente un exploit fácil de usar una vulnerabilidad parcheada Esto afecta a las aplicaciones Cisco AnyConnect Secure Mobility Client y Cisco Secure Client para Windows, ampliamente utilizadas. Los atacantes podrían usar el exploit para escalar sus privilegios en el sistema de una víctima y obtener un control completo sobre él.

Cisco Secure Client para Windows, anteriormente conocido como Cisco AnyConnect Secure Mobility Client antes de la versión 5.0, es una aplicación que se integra con múltiples plataformas y tecnologías de administración y seguridad de puntos finales de Cisco, incluida AnyConnect VPN y la popular plataforma de acceso a la red de confianza cero (ZTNA). con negocios

La popularidad del software lo ha convertido en un objetivo para los atacantes en el pasado. En octubre de 2022, Cisco actualizó sus avisos sobre dos vulnerabilidades de escalada de privilegios parcheadas originalmente en el cliente AnyConnect en 2020 para advertir a los clientes que están siendo explotadas en la naturaleza. Al mismo tiempo, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó las deficiencias que se rastrearon como CVE-2020-3433 Y CVE-2020-3153a su Catálogo de vulnerabilidades conocidas explotadas que todas las agencias gubernamentales tienen una fecha límite para parchear.

Las vulnerabilidades de escalada de privilegios locales no se consideran críticas porque requieren que un atacante ya tenga acceso para ejecutar el código en el sistema operativo. Sin embargo, eso no significa que no sean serios o valiosos para los atacantes, especialmente en el contexto de los movimientos laterales.

Los empleados que tienen el cliente Cisco AnyConnect en las computadoras proporcionadas por la empresa para que puedan acceder a la red de la organización a través de VPN generalmente no tienen privilegios administrativos en sus sistemas. Si los atacantes logran engañar a un usuario para que ejecute un programa malicioso, ese código se ejecuta con privilegios restringidos. Si bien esto puede ser suficiente para el robo de datos básicos de las aplicaciones del usuario, no permite ataques más sofisticados, como divulgar las credenciales locales almacenadas en Windows que podrían darles acceso a otros sistemas. Aquí es donde entran en juego las vulnerabilidades de escalada de privilegios locales.

El exploit CVE-2023-20178

La vulnerabilidad de escalada de privilegios parcheada por Cisco a principios de este mes se rastrea como CVE-2023-20178 y es causada por el mecanismo de actualización de Cisco AnyConnect Secure Mobility Client y Cisco Secure Client para Windows.