Уязвимость в VPN-клиенте AWS позволяет повысить привилегии до SYSTEM

Уязвимость в VPN-клиенте AWS позволяет повысить привилегии до SYSTEM

Исследователи из Rhino Security Labs выявили две уязвимости в AWS VPN Client. Одна из них грозит локальным повышением привилегий или DoS-атакой (отказом сервиса), другая — утечкой NTLM-хеша пользователя. Патчи уже доступны в виде обновления 3.0.0.

Управляемое решение AWS VPN Client позволяет обезопасить удаленный доступ к корпоративным ресурсам. В рамках этого сервиса сотрудники или клиенты компании могут подключаться к ее сети (AWS или локальной) со своего компьютера или мобильного устройства, используя файл конфигурации VPN — его распределяют между всеми, кому необходим такой доступ.

Десктопное приложение AWS VPN Client, построенное на базе OpenVPN-клиента, работает как Windows-служба уровня SYSTEM. Ею может воспользоваться даже непривилегированный юзер — через импорт конфигурационного файла OpenVPN.

Как оказалось, при валидации таких файлов возникает состояние гонки, которое можно использовать для внедрения небезопасных директив OpenVPN. Чтобы воспользоваться этой уязвимостью (CVE-2022-25166, запись произвольных файлов с привилегиями SYSTEM), злоумышленник должен правильно рассчитать время инъекции — после успешной проверки, но до обработки файла конфигурации. В ходе тестирования исследователям удалось через эксплойт внести в систему новый файл журнала событий.

Уязвимость раскрытия информации (CVE-2022-25165) тоже связана с валидацией файлов настройки OpenVPN. На одном из ее этапов клиентское приложение AWS производит проверку пути к файлу, при этом выполняется операция FileOpen (fopen). Если в импортируемый файл вставить UNC-путь, клиент сольет хеш Net-NTLMv2 пользователя на внешний сервер.

Наличие уязвимостей подтверждено для AWS VPN Client версии 2.0.0. Патчи включены в состав сборки 3.0.0. Свои PoC-коды Rhino уже опубликовала на GitHub.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

152-ФЗ: Госдума приняла новый вариант закона “О персональных данных”

“Засекречивание” ЕГРН, сутки на уведомление об утечке, сбор биометрии в ЕБС. К третьему чтению “доехало” меньше половины из 80 поправок, предложенных бизнесом к первой редакции.

Госдума уже сегодня уходит на каникулы, поэтому последние дни там были “жаркими”. Во вторник депутаты приняли во втором чтении законопроект “О персональных данных”. Накануне, 6 июля — в третьем и окончательном. 152-ФЗ “уехал” в Совет Федерации.

Законопроект вызвал озабоченность бизнеса еще в мае, когда его “читали” в Госдуме в первый раз. Один из инициаторов изменений — единоросс Александр Хинштейн — вчера сообщил о 80 поступивших поправках первого варианта.

Принять во внимание решили только 30. Итак, в финальной редакции:

  1. Получить данные из Единого госреестра недвижимости (ЕГРН) можно только с письменного разрешения владельца. Поправку оставили без изменений, несмотря на протесты предпринимателей.
  2. Мораторий на трансграничную передачу персданных. К третьему чтению добавилось еще одно основание запрета: для “защиты суверенитета, безопасности, территориальной целостности РФ и других ее интересов на международной арене”. Правительство может определять категории операторов, на которых запрет не действует. Закон также не будет иметь обратной силы.
  3. Обязанность операторов персданных (де-факто всех юрлиц) сообщать в Роскомнадзор о передаче ПДн россиян в другие страны. В первой версии требовалось докладывать о каждой транзакции, что усложняло покупку товаров в иностранных магазинах. Поправка могла сильно ударить по маркетплейсам. В последней редакции есть возможность единовременно подать уведомления заранее по всем перспективным направлениям до вступления закона в силу, объясняет собеседник “Ъ” на рынке онлайн-ретейла. РКН будет рассматривать уведомления не 30 дней, а десять.
  4. Оператор персональных данных обязан сообщить об утечке в первые сутки, как только обнаружил потерю. Далее у него будет еще два дня, чтобы найти виноватого и залатать “дыры”. В первом варианте на всё давались только сутки.
  5. Информацию об утечках нужно передавать и в Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Из актуальной версии исключили требование о непрерывном взаимодействии с ГосСОПКА. Бизнес опасался, что это обойдется ему слишком дорого.
  6. Операторам персданных больше не нужно согласие субъекта для передачи его биометрии в единую биометрическую систему (ЕБС). Достаточно просто уведомить гражданина.
  7. Запрещается принудительный сбор и обработку биометрических данных. Бизнес не сможет отказывать в обслуживании, если клиент не хочет сдавать отпечатки, фотографии и образцы голоса.
  8. Можно собирать биометрические данные у несовершеннолетних с 14 до 18 лет. Депутаты согласились с мнением ЦБ и банков. Регулирование продолжится по законопроекту о единой биометрической системе (ГИС).

Теперь закон должен принять Совет Федерации. После этого он “поедет” на подпись к президенту. Вступить в силу новый 152-ФЗ может в марте следующего года.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru