McAfee目前已经修补了其McAfee产品组件中的两个高危漏洞,攻击者可以利用这些漏洞提升权限,甚至可以提升到SYSTEM权限。

根据McAfee的公告,这些漏洞存在于McAfee Agent 5.7.5之前的版本中,McAfee Agent主要应用于McAfee Endpoint Security及其他McAfee产品。

Agent是McAfee ePolicy Orchestrator(McAfee ePO)的一部分,其主要用于下载和执行策略,以及执行部署和更新等客户端任务。

McAfee Agent同时也是上传事件和提供有关系统状态数据的重要组件。Agent会定期收集并向McAfee ePO服务器发送事件信息,它还负责安装和更新终端产品,任何需要管理的网络系统上都必须要安装。

OpenSSL组件漏洞会导致用户权限提升

Agent中含有一个漏洞,该漏洞被编号为CVE-2022-0166,CVSS基本危急等级被评定为7.8,该漏洞是由卡内基梅隆大学CERT协调中心(CERT/CC)的Will Dormann发现的。

周四,CERT/CC发布公告称,该漏洞是在Agent中的一个OpenSSL组件中发现的,该组件将OPENSSLDIR变量定义为了一个子目录,该目录可能会被Windows上的非特权用户控制。

根据该公告,McAfee Agent 中包含了一个使用该OpenSSL组件的特权服务。用户可以将特制的openssl.cnf文件放在适当路径上,那么该工具就能够以SYSTEM权限实现任意代码执行操作。

安全专家所谈的openssl.cnf,实际上是OpenSSL的一个配置文件。该文件可以为证书文件位置等项目提供SSL默认值以及保存安装时输入的各种网站信息。

执行任意shell代码

McAfee在其公告中说,Agent中的第二个漏洞被追踪为CVE-2021-31854,CVSS关键性评级为7.7,该漏洞可以被本地用户利用,并向文件中注入任意的shell代码。据该公司称,攻击者可以利用这个安全漏洞获得一个反向的shell,使他们能够获得root权限。

该漏洞的发现者Russell Wells分析称,这是McAfee Agent for Windows在5.7.5之前的一个命令注入漏洞。

McAfee说,它允许本地用户在文件cleanup.exe中注入任意的shell代码。

McAfee称,恶意的clean.exe文件会被释放到相关文件夹内,并通过运行于系统树中的McAfee Agent部署功能来执行,攻击者可能会利用该漏洞获得反向shell,这可能会使得攻击者提升权限来进行攻击。

Wells告诉媒体,利用这个漏洞需要访问McAfee ePO主机,也就是底层Windows主机,而不是应用程序本身。

攻击者获取权限后可以肆意妄为

利用特权升级漏洞,威胁者可以对那些一般情况下被锁定保护的数据进行攻击。攻击者可以利用这些权限来窃取机密数据、运行管理命令、从文件系统中读取文件和部署恶意软件,甚至可以在攻击期间逃避安全软件检测。

这并不是第一次在McAfee的代理中出现特权升级漏洞。几个月前,在9月,该安全公司修补了一个由Tenable安全研究员Clément Notin发现的此类漏洞(CVE-2020-7315)。

该漏洞会导致McAfee Agent中的DLL注入攻击,可能会允许本地管理员在不知道McAfee密码的情况下关闭或篡改防病毒软件。