Cisco AnyConnect／Secure Client の脆弱性 CVE-2023-20178：PoC エクスプロイトが登場

PoC Exploit Published for Cisco AnyConnect Secure Vulnerability

2023/06/22 SecurityWeek — 先日にパッチが適用された、Cisco AnyConnect Secure Mobility Client および Secure Client for Windows の深刻な脆弱性を証明するために、あるセキュリティ研究者が PoC エクスプロイト・コードを公開した。この Cisco のソフトウェアは、組織のネットワークへの安全な VPN 接続を、リモートの従業員に提供し、また、その監視機能を実現するものである。そして、脆弱性 CVE-2023-20178 (CVSS：7.8) は、このソフトウェアのクライアント・アップデート・プロセスに影響を及ぼし、低権限のローカル攻撃者に対して、アクセス権を昇格とシステム特権でのコード実行を許すものである。

Cisco のアドバイザリには、「この脆弱性は、アップデート・プロセスで作成される、テンポラリ・ディレクトリへの不適切なパーミッション割り当てに起因する。Windows のインストーラ・プロセスの特定の機能を悪用する攻撃者により、この脆弱性の悪用へといたる可能性が生じる」と説明している。

大まかに言えば、これは任意のフォルダの削除に関する問題である。それらのテンポラリ・フォルダは、ソフトウェアの更新プロセスで変更されるファイルのコピーを保存するためのものであり、インストールプロセスが正常に完了しない際に、ロールバックを可能にするためのものである。

このテンポラリ・フォルダについて、知識を持つ攻撃者であれば、アップデート・プロセスを開始し、途中で意図的にロールバックを発生させるという、エクスプロイト・チェーンを思いつくだろう。同時に、このエクスプロイトは、テンポラリ・フォルダの内容を悪意のファイルで置き換えることが可能になる。

つまり、更新プロセスが停止したときに、Windows はテンポラリ・フォルダ内のファイルを、元の場所に復元しようとするが、その時には、悪意のファイルに置き換えられているというシナリオである。

今週に Cisco に対して、この脆弱性 CVE-2023-20178 を報告したセキュリティ研究者 Filip Dragovic は、このような動作をする PoC を公開し、System 権限で任意のファイルを削除している。

この研究者は、Secure Client の Ver 5.0.01242 および、AnyConnect Secure Mobility Client の Ver 4.10.06079 で、この PoC をテストしたと述べている。なお。影響を受けるのは Windows 版のみである。

Ciscoは 6月上旬に、AnyConnect Secure Mobility Client の Ver 4.10.07061 と、Secure Client の Ver 5.0.02075 をリリースし、この CVE-2023-20178 に対処している。

この脆弱性 CVE-2023-20178 に関しては、すでに 2023/06/08 の「Cisco Secure Client の深刻な脆弱性 CVE-2023-20178 が FIX：SYSTEM への特権昇格」でお伝えしていますが、そこに PoC エクスプロイトが登場したとのことです。よろしければ、Cisco で検索も、ご利用ください。