使用 NAM 在思科安全客户端中执行代码 - CVE-2024-20391

描述

Secure Client 利用强大的行业领先的 AnyConnect VPN/ZTNA，帮助 IT 和安全专业人员在统一视图中管理动态且可扩展的端点安全代理。

问题

当思科安全客户端使用 NAM（网络访问管理器）并且 Windows Wi-Fi 上下文菜单被思科的上下文菜单取代时，具有物理访问权限的攻击者可以在受影响的计算机上以 SYSTEM 身份执行命令。

时间线

单击此按钮时，将打开 Cisco Secure Client 上下文菜单：

然后，可以添加 Wi-Fi 网络：

将打开带有配置选项的菜单：

选项允许指定在建立新配置的连接时要执行的脚本。选择此脚本的图标会打开一个资源管理器：

选择 后cmd.exe，将在该帐户下运行命令提示符SYSTEM。

影响

此行为允许在NT Authority/System具有最高权限的帐户下运行任何命令。这允许损害底层机器并访问它包含的任何数据。

原文地址：https://www.synacktiv.com/advisories/code-execution-in-cisco-secure-client-with-nam