Уязвимост в OpenSSH, позволяваща дистанционно изпълнение на код с права root на сървъри с Glibc

Компания Qualys откри критична уязвимост (CVE-2024-6387) в OpenSSH, която позволява отдалечено изпълнение на код с root права без необходимост от удостоверяване. Уязвимостта, носеща кодовото име regreSSHion, се проявява в конфигурацията по подразбиране, започвайки от версия OpenSSH 8.5 на системи с стандартната библиотека Glibc.

Възможността за извършване на атака беше демонстрирана на 32-битова система с Glibc с включена защита ASLR (рандомизация на адресното пространство). За успешна атака в лабораторни условия бяха необходими 6-8 часа, в които сървъра. непрекъснато се установяваха връзки с максималната допустима в конфигурацията sshd интензивност. Извършването на атака се улеснява и изисква по-малко време на системи без ASLR или в дистрибуции, използващи модифициран OpenSSH, в който е изключена повторната рандомизация ASLR за всяка връзка. Работещият прототип на експлойта няма да бъде публикуван публично до пълното отстраняване на уязвимостта, но е налично достатъчно подробно описание на същността на уязвимостта, което прави появата на странични експлойти само въпрос на време.

Не е изключена възможността за извършване на атака и на 64-битови системи, но работещият експлойт за такива системи все още не е готов. Счита се, че провеждането на атака на 64-битови системи ще отнеме значително повече време, но не повече от седмица. OpenSSH в OpenBSD не е засегнат от проблема, тъй като в тази система от 2001 година се прилага механизъм за защита, който блокира подобни класове атаки. На други системи, базирани на стандартни библиотеки, различни от Glibc, теоретично е възможна адаптация на метода за извършване на атака (в Qualys този въпрос все още не е изследван).

Уязвимость устранена в опубликованном сегодня выпуске OpenSSH 9.8 (патч). Проследить за публикацией обновлений пакетов в дистрибутивах можно на страницах: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, ROSA, Gentoo, ALT Linux, Arch и FreeBSD. В качестве обходного пути блокирования уязвимости в sshd_config можно выставить параметр «LoginGraceTime=0», при этом отключение таймаута упростит инициирование отказа в обслуживании при установке большого числа соединений, превышающих лимиты, заданные через параметр MaxStartups.
Одним из признаков попыток совершения атаки является появление в логе большого числа записей «Timeout before authentication».

Уязвимостта възникна в резултат на регресивна промяна, включена в изданието OpenSSH 8.5, която води до състояние на състезание в кода за обработка на сигнали в sshd. Регресията доведе до отпадане на защитата от старата уязвимост CVE-2006-5051, която се проявяваше до версия OpenSSH 4.4 (2006 година) и имаше теоретичен характер.
В ходе разработки OpenSSH 8.5 по ошибке из функции sigdie(), которая напрямую вызывается из обработчика SIGALRM, была удалён блок «#ifdef DO_LOG_SAFE_IN_SIGHAND».

Обработчикът SIGALRM се извиква в sshd в асинхронен режим, ако клиентът не е извършил аутентификация в рамките на времето, лимитирано от таймаута за свързване (LoginGraceTime, по подразбиране 120 сек.). Атаката се основава на факта, че обработчикът на сигнала извиква функции, които не са безопасни при асинхронна обработка на сигнали, като syslog(). Функцията syslog() в Glibc не е проектирана за употреба в асинхронно изпълнявани обработчици на сигнали, тъй като извиква функции malloc() и free(). Сработването на сигнала SIGALRM, което прекъсва изпълнението на определен код в sshd, може да доведе до нарушаване на състоянието на изпълнение, а задачата на експлойта е да създаде условия за прекъсване на нужния код в необходимия момент на неговото изпълнение. Уязвимостта не засяга OpenBSD, тъй като в него вместо syslog() от обработчика на сигнала SIGALRM се извиква функцията syslog_r(), специално създадена за асинхронно изпълнение.

Източник: opennet.ru