SecBoard
Zurück zur CVE-Übersicht

CVE-2020-3153

MEDIUM(6.5)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N

Risk Signal Score55/100 — HOCH
  • CVSS 6.5 — Mittel
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

28.3%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

6.5

Technische Schwere

SecBoard-Einordnung

CVE-2020-3153 betrifft den Installer des Cisco AnyConnect Secure Mobility Client für Windows. Die Schwachstelle ermöglicht es einem authentifizierten lokalen Angreifer, beliebige Dateien mit Systemrechten in Systemverzeichnisse zu kopieren. Dies kann zu DLL-Preloading, DLL-Hijacking und ähnlichen Angriffen führen, indem bösartige Dateien an kritische Stellen platziert werden. Die Schwachstelle ist auf eine fehlerhafte Handhabung von Verzeichnispfaden zurückzuführen. Die Kritikalität dieser Schwachstelle ist als MEDIUM mit einem CVSS-Score von 6.5 eingestuft, jedoch wird sie aktiv ausgenutzt, wie die Aufnahme in den KEV-Katalog bestätigt. Die Exploit-Wahrscheinlichkeit liegt bei 27% gemäß . Aufgrund der aktiven Ausnutzung und der Möglichkeit, lokale Privilegien zu eskalieren, sollten Security-Teams umgehend Maßnahmen ergreifen. Es wird dringend empfohlen, verfügbare Patches für den Cisco AnyConnect Secure Mobility Client für Windows zu installieren, um das Risiko einer Kompromittierung zu minimieren und die Systemintegrität zu gewährleisten.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in the installer component of Cisco AnyConnect Secure Mobility Client for Windows could allow an authenticated local attacker to copy user-supplied files to system level directories with system level privileges. The vulnerability is due to the incorrect handling of directory paths. An attacker could exploit this vulnerability by creating a malicious file and copying the file to a system directory. An exploit could allow the attacker to copy malicious files to arbitrary locations with system level privileges. This could include DLL pre-loading, DLL hijacking, and other related attacks. To exploit this vulnerability, the attacker needs valid credentials on the Windows system.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV)

Behobene Versionen

  • Cisco AnyConnect Secure Mobility Client for Windows version 4.8.02042

Threat-Hunting-Queries

Die Schwachstelle ermöglicht es einem authentifizierten lokalen Angreifer, Dateien mit SYSTEM-Privilegien in Systemverzeichnisse zu kopieren, was zu DLL-Preloading oder DLL-Hijacking führen kann. Die Detektion konzentriert sich auf ungewöhnliche Dateierstellungen oder -modifikationen in Systemverzeichnissen durch den Cisco AnyConnect Secure Mobility Agent oder den vpndownloader.

Sentinel/Defender KQL

DeviceFileEvents
| where InitiatingProcessFileName =~ "vpndownloader.exe" or InitiatingProcessFileName =~ "Cisco AnyConnect Secure Mobility Agent.exe"
| where ActionType == "FileCreated" or ActionType == "FileModified"
| where FileName endswith ".dll" or FileName endswith ".exe"
| where FolderPath startswith "C:\Windows\System32" or FolderPath startswith "C:\Program Files" or FolderPath startswith "C:\ProgramData"
| summarize count() by DeviceName, InitiatingProcessFileName, FileName, FolderPath, SHA256

Splunk SPL

index=windows (sourcetype=WinEventLog:Microsoft-Windows-Sysmon/Operational EventCode=11 OR EventCode=1) (ParentImage="*\\vpndownloader.exe" OR ParentImage="*\\Cisco AnyConnect Secure Mobility Agent.exe") (TargetFilename="*.dll" OR TargetFilename="*.exe") (TargetFilename="C:\\Windows\\System32\\*" OR TargetFilename="C:\\Program Files\\*" OR TargetFilename="C:\\ProgramData\\*")
| stats count by Host, ParentImage, TargetFilename, Image

Sigma

title: Cisco AnyConnect Path Traversal Privilege Escalation
id: 7a8b9c0d-1e2f-3a4b-5c6d-7e8f9a0b1c2d
status: experimental
description: Detects suspicious file creations/modifications in system directories by Cisco AnyConnect components, indicative of CVE-2020-3153 exploitation.
author: SecBoard Operations
date: 2023/10/27
logsource:
  category: file_event
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\vpndownloader.exe'
      - '\Cisco AnyConnect Secure Mobility Agent.exe'
    TargetFilename|endswith:
      - '.dll'
      - '.exe'
    TargetFilename|startswith:
      - 'C:\Windows\System32\'
      - 'C:\Program Files\'
      - 'C:\ProgramData\'
  condition: selection
falsepositives:
  - Legitimate updates of Cisco AnyConnect (should be rare in system directories outside of its own installation path).
level: high

Elastic ES|QL

file where event.type == "creation" or event.type == "change" and 
  (process.parent.executable.name == "vpndownloader.exe" or process.parent.executable.name == "Cisco AnyConnect Secure Mobility Agent.exe") and 
  (file.extension == "dll" or file.extension == "exe") and 
  (file.path : "C:\\Windows\\System32\\*" or file.path : "C:\\Program Files\\*" or file.path : "C:\\ProgramData\\*")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:cisco:anyconnect_secure_mobility_client:*:*:*:*:*:windows:*:*

Referenzen