[English]In der Windows-Version von Cisco-Clients AnyConnect Secure Mobility gibt es die Schwachstelle CVE-2020-3153. Hier einige Informationen zu dieser Schwachstelle.
Anzeige
Im Cisco AnyConnect Secure Mobility Client für Windows gibt es eine Privilege Escalation Schwachstelle. Über folgenden Tweet bin ich vor einigen Tagen auf das Thema aufmerksam geworden.
Details for the path traversal vulnerability I discovered in the Cisco AnyConnect Secure Mobility Client for Windows are now public (CVE-2020-3153). This issue can be used to gain SYSTEM privileges:https://t.co/JIzD7iZLx1https://t.co/4wiatAbth0
— Yorick Koster (@yorickkoster) April 20, 2020
Der unabhängige Sicherheitsforscher Yorick Koster hat diese Schwachstelle im SSD Secure Disclosure Programm gemeldet.
Die Schwachstelle CVE-2020-3153
Die Schwachstelle CVE-2020-3153 befindet sich in der Installationsprogramm-Komponente des Cisco AnyConnect Secure Mobility Client for Windows. Der Cisco AnyConnect Secure Mobility Client enthält Funktionen zur automatischen Aktualisierung mit Updates.
Anzeige
Die automatische Aktualisierung funktioniert auch für Benutzer mit geringen Privilegien, da diese von einem Dienst namens Cisco AnyConnect Secure Mobility Agent initiiert und mit SYSTEM-Privilegien ausgeführt wird. Dieser Dienst stellt den TCP-Port 62522 auf dem Loopback-Gerät frei, mit dem sich Clients verbinden und Befehle senden können, die von diesem Dienst verarbeitet werden sollen. Einer dieser Befehle besteht darin, die Anwendung vpndownloader zu starten und AnyConnect zu aktualisieren.
Eine gefundene Sicherheitslücke könnte es einem authentifizierten lokalen Angreifer ermöglichen, diesen Auto-Update-Funktion zu missbrauchen, um von Standardbenutzerkonten bereitgestellte Dateien mit den erforderlichen Systemberechtigungen in Verzeichnisse auf Systemebene zu kopieren.
Die Schwachstelle ist auf die falsche Handhabung von Verzeichnispfaden (Directory Traversal) zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine bösartige Datei erstellt und die Datei in ein Systemverzeichnis kopieren lässt. Die Schwachstelle ermöglicht es dem Angreifer u.U. Dateien mit Schadsoftware an beliebige Orte mit Berechtigungen auf Systemebene zu kopieren. Dies könnte das Vorladen von DLLs, die DLL-Hijacking und andere verwandte Angriffe umfassen. Um diese Schwachstelle auszunutzen, benötigt der Angreifer gültige Anmeldedaten auf dem Windows-System.
Was ist betroffen? Patch verfügbar
Die Schwachstelle betrifft laut Yorick Koster den Cisco AnyConnect Secure Mobility Client für Windows bis zur Version 4.8.01090. Cisco hat zum 19. April ein Advisory veröffentlicht und einen Patch auf die Version 4.8.02042 freigegeben. Details finden sich auf dieser Webseite lässt.
Wer Cisco IP-Telefone einsetzt, sollte ein Update einspielen, um Sicherheitslücken zu schließen. Details finden sich in diesem heise-Beitrag von voriger Woche.
Anzeige
