Si bien las vulnerabilidades de ejecución remota de código (RCE) son bastante comunes, una nueva descubierta en el software de colaboración en línea y video de Cisco WebEx es definitivamente diferente. Esto se debe a que los usuarios pueden ejecutar comandos de forma remota a través de un componente del cliente WebEx incluso cuando WebEx no escucha las conexiones remotas.
Las vulnerabilidades de ejecución remota de código son errores que permiten a los usuarios conectarse remotamente a una aplicación vulnerable y hacer que los comandos se ejecuten en la computadora remota. Estos son errores críticos porque comúnmente permiten que los comandos se ejecuten con privilegios elevados.
Esta nueva vulnerabilidad de ejecución remota de código fue revelada ayer por Ron Bowes y Jeff McJunkin de la organización de desafío de hackeo Counter Hack mientras realizaba un reciente Pentest. Su objetivo inicial era elevar los permisos de una cuenta de usuario estándar local, pero en su lugar encontraron un error de ejecución de código remoto muy interesante que han titulado "WebExec".
Al realizar el Pentest, notaron que Cisco WebEx utiliza un servicio llamado "WebexService" que cualquiera puede iniciar y detener y ejecutar bajo los privilegios del sistema.
Como cualquiera, incluido un usuario estándar, podía acceder al ejecutable, se dieron cuenta de que podían reemplazar el ejecutable por otro de su elección para elevar sus privilegios. Mientras encontraban la elevación de privilegios que estaban buscando, este error ya había sido descubierto por otros investigadores y Cisco había lanzado una nueva actualización para él en septiembre.
El servicio WebexService no se inicia automáticamente cuando se inicia Windows. En su lugar, se llama cuando sea necesario para realizar una actualización de WebEx, o en este caso, otros programas.
Para utilizar el servicio WebexService para iniciar un programa, simplemente puede iniciar el servicio mientras pasa el comando para ejecutarlo como un argumento. Por ejemplo, para que WebexService.exe inicie calc.exe, puede usar el comando:
sc start webexservice a software-update 1 calc c d e fComo el programa calc.exe fue iniciado por un servicio que se ejecuta con privilegios del sistema, también se ejecutó con los privilegios del sistema como se muestra a continuación.
Según los investigadores, aunque sabían acerca de esta vulnerabilidad, no se habían dado cuenta de que podían usarla de forma remota hasta que hubiera transcurrido una semana.
"En realidad, pasamos más de una semana conociendo esta vulnerabilidad sin darnos cuenta de que se podía usar de forma remota".
Puede que se esté preguntando cómo puede ejecutar una vulnerabilidad de forma remota cuando no se ejecuta esperando conexiones. Esto se debe a que el comando sc de Windows se puede usar para iniciar un servicio en una máquina remota con el siguiente comando:
c:\>sc \\10.0.0.0 start webexservice a software-update 1 net localgroup administrators testuser /addSin embargo, para utilizar sc de forma remota, primero debe autenticarse en la máquina remota. Esto podría ser con una cuenta local o una cuenta de dominio.
"Se necesita una cuenta porque hay que superar las propias comprobaciones de autenticación de Windows", dijo Bowes a BleepingComputer por correo electrónico. "Para enlazar con el servicio de control de servicio (svcctl) en Windows, primero debe autenticarse como usuario. De lo contrario, Windows lo rechazará. Una vez que se haya conectado al servicio, puede iniciar / detener los servicios de Windows de forma remota, siempre que tiene el nivel de acceso para controlarlos. En algunos casos, como WebExService, permiten que cualquiera pueda iniciar / detener el servicio. La mayoría de los servicios requieren un administrador ".
Como el comando sc requiere que la máquina remota tenga el puerto 445 abierto y accesible, esta vulnerabilidad no es realmente útil desde Internet. Esto se debe a que la mayoría de los ISP y las empresas bloquean el puerto 445 en sus enrutadores y firewalls.
Según Bowes, esta vulnerabilidad es más útil para un atacante que se afianza en una computadora y luego usa la vulnerabilidad para ejecutar comandos en otras máquinas en la misma red.
Cisco ya ha corregido este error y se han publicado nuevas actualizaciones de WebEx.
Fuente: BleepingComputer
