Cisco Secure Client Secure Firewall Posture module mắc lỗi kiểm tra đầu vào, cho phép nâng quyền cục bộ

Một lỗ hổng trong kênh interprocess communication (IPC) của Secure Firewall Posture module trong Cisco Secure Client có thể cho phép attacker đã xác thực và truy cập cục bộ nâng quyền trên thiết bị bị ảnh hưởng.

Lỗ hổng này bắt nguồn từ việc xác thực không đầy đủ dữ liệu do người dùng cung cấp. Attacker có thể khai thác lỗ hổng bằng cách gửi một chuỗi IPC message được tạo riêng đến một local socket. Khai thác thành công có thể cho phép attacker thực hiện các thao tác ghi tệp giới hạn trên filesystem với quyền SYSTEM hoặc root. Mặc dù lỗ hổng ảnh hưởng đến Secure Firewall Posture module trong Cisco Secure Client trên các hệ điều hành Windows, macOS và Linux, lỗ hổng này có thể được sử dụng để đạt toàn bộ quyền root trên macOS và Linux. Vì lý do đó, Cisco đã gán cho advisory bảo mật này Security Impact Rating (SIR) là High thay vì Medium như mức điểm thể hiện.

Cisco xác nhận Secure Firewall Posture module trong Cisco Secure Client trên Windows, macOS và Linux bị ảnh hưởng. Advisory của Cisco quy định các bản Cisco Secure Client sớm hơn 5.1.20.333 là vulnerable và xác định 5.1.20.333 là first fixed release. Danh sách phiên bản cụ thể trong bản ghi cũng thuộc phạm vi affected, bao gồm các nhánh 4.9, 4.10, 5.0 và các bản 5.1 trước bản sửa lỗi được Cisco nêu. Trạng thái của các nhánh song song hoặc các bản phát hành sau 5.1.20.333 không nên được suy đoán ngoài phạm vi mà advisory xác nhận; cần đối chiếu ma trận phiên bản hiện hành của Cisco.

Lỗ hổng nằm trong kênh interprocess communication (IPC) của Secure Firewall Posture module trong Cisco Secure Client và thuộc nhóm Improper Input Validation (CWE-20). Thành phần này không xác thực đầy đủ dữ liệu do người dùng cung cấp, cho phép một attacker đã xác thực và có quyền truy cập cục bộ gửi một chuỗi IPC message được tạo riêng đến local socket. Khai thác thành công có thể cho phép thực hiện các thao tác ghi tệp giới hạn trên filesystem với quyền SYSTEM hoặc root. Trên macOS và Linux, lỗ hổng có thể được dùng để đạt toàn bộ quyền root; trên Windows, advisory chỉ xác nhận các thao tác ghi tệp giới hạn với quyền SYSTEM. Advisory không công bố tên socket, định dạng message, chi tiết kiểm tra bị thiếu, hoặc các tệp cụ thể có thể bị ghi.

• Phạm vi khai thác là local trên thiết bị có Cisco Secure Client và Secure Firewall Posture module, không phải khai thác trực tiếp qua mạng.
• Attacker phải là người dùng đã xác thực và có quyền truy cập cục bộ. Hồ sơ đánh giá được cung cấp cho thấy yêu cầu quyền thấp, độ phức tạp thấp và không cần user interaction.
• Chuỗi IPC message được gửi đến local socket là điều kiện khai thác được Cisco mô tả, nhưng advisory không công bố định dạng message hoặc trình tự khai thác chi tiết.
• Cisco PSIRT cho biết họ không biết về public announcement hoặc malicious use của lỗ hổng tại thời điểm advisory; thông tin này không chứng minh rằng việc khai thác chưa từng xảy ra ngoài phạm vi quan sát đó.

Lỗ hổng có tác động chính đến integrity vì attacker cục bộ có thể thực hiện thao tác ghi tệp với quyền đặc biệt. Trên macOS và Linux, kết quả có thể là toàn bộ quyền root, trong khi mô tả đối với Windows chỉ xác nhận các thao tác ghi tệp giới hạn với quyền SYSTEM. Hồ sơ đánh giá được cung cấp không ghi nhận tác động trực tiếp đến confidentiality hoặc availability. Về mặt tổ chức, quyền ghi đặc biệt có thể cho phép thay đổi thành phần hoặc dữ liệu được bảo vệ, nhưng advisory không xác định các tệp cụ thể, không xác nhận arbitrary code execution và không mô tả một kịch bản breach cụ thể.

• Trên Windows, khai thác có thể cho phép ghi một số tệp trên filesystem với quyền SYSTEM, tạo rủi ro thay đổi tính toàn vẹn của endpoint và các thành phần được bảo vệ.
• Trên macOS và Linux, advisory cho biết lỗ hổng có thể được dùng để đạt toàn bộ quyền root, làm tăng đáng kể khả năng kiểm soát hệ thống của một tài khoản cục bộ có đặc quyền thấp.
• Hậu quả tổ chức có thể gồm thay đổi phần mềm hoặc cấu hình đặc quyền, làm suy yếu kiểm soát bảo mật, hoặc làm gián đoạn quy trình quản trị endpoint, tùy vào tệp mà attacker có thể ghi.
• Evidence hiện có không xác nhận việc đọc dữ liệu, tiết lộ thông tin hoặc gây denial of service trực tiếp.

1. Nâng cấp Cisco Secure Client lên 5.1.20.333, là first fixed release được Cisco xác nhận cho các bản trước đó. Không nên diễn giải thông tin này thành xác nhận rằng mọi nhánh phát hành sau đó đều không bị ảnh hưởng.
2. Ưu tiên xử lý các endpoint macOS và Linux vì advisory cho biết lỗ hổng có thể dẫn đến toàn bộ quyền root trên hai nền tảng này.
3. Rà soát và cập nhật các endpoint Windows đang chạy bản trước 5.1.20.333 theo quy trình triển khai phần mềm của tổ chức.
4. Cisco cho biết không có workaround giải quyết lỗ hổng. Nếu chưa thể nâng cấp, hãy xác nhận hướng xử lý tạm thời trực tiếp với Cisco; không có biện pháp giảm thiểu cụ thể nào được advisory cung cấp.

1. Kiểm kê Cisco Secure Client trên các endpoint Windows, macOS và Linux, đồng thời xác định nơi Secure Firewall Posture module được cài đặt.
2. Đối chiếu phiên bản đang chạy với ranh giới do Cisco công bố: các bản trước 5.1.20.333 nằm trong phạm vi bị ảnh hưởng; 5.1.20.333 là bản sửa lỗi đầu tiên.
3. Ưu tiên rà soát telemetry endpoint về các thao tác ghi tệp bất thường do thành phần Cisco Secure Client thực hiện với quyền SYSTEM hoặc root, đặc biệt khi xảy ra cùng hoạt động IPC cục bộ. Đây là biện pháp giám sát phòng ngừa, không phải indicator of compromise được Cisco xác nhận.
4. Không có tên socket, đường dẫn tệp, log event hoặc IOC cụ thể được advisory công bố. Việc không thấy log phù hợp không chứng minh endpoint an toàn.