Уязвимост в sudo, позволяваща повишаване на правата при използване на специфични правила

В утилитата Sudo, използван за организиране на изпълнението на команди от името на други потребители, открита е уязвимост (CVE-2019-14287), който позволява изпълнението на команди с права root, при наличие в настройките на sudoers правила, в които в секцията за проверка на идентификатора на потребителя след разрешителното ключово слово «ALL» следва явна забрана за стартиране с права root («… (ALL, !root) …»). В конфигурациите по подразбиране в дистрибутивите уязвимостта не се проявява.

При наличие в sudoers на допустими, но крайно редки практики, разрешаващи изпълнението на определена команда под UID-идентификатора на всеки потребител, освен root, атакуващият, който има правомощия за изпълнение на тази команда, може да заобиколи наложеното ограничение и да изпълни командата с права root. За заобикаляне на ограничението е достатъчно да се опита да се изпълни посочената в настройките команда с UID «-1» или «4294967295», което ще доведе до нейното изпълнение с UID 0.

Например, ако в настройките има правило, позволяващо на всеки потребител правото да изпълнява програмата /usr/bin/id под произволен UID:

myhost ALL = (ALL, !root) /usr/bin/id

или вариант, разрешаващ изпълнението само на конкретен потребител bob:

myhost bob = (ALL, !root) /usr/bin/id

Потребителят може да изпълни «sudo -u ‘#-1’ id» и утилитата /usr/bin/id ще бъде стартирана с правата на root, въпреки явната забрана в настройките. Проблемът произтича от пропуска на специалните стойности «-1» или «4294967295», които не водят до смяна на UID, но тъй като самото sudo вече се изпълнява под root, то без смяна на UID и целевата команда също се стартира с правата на root.

В дистрибутивите SUSE и openSUSE без указание в правилото «NOPASSWD» уязвимостта не е експлоатирана, тъй като в sudoers по подразбиране е включен режим «Defaults targetpw», при който се извършва проверка на UID по базата с пароли с извод на запитване за въвеждане на парола на целевия потребител. За подобни системи атаката може да бъде извършена само при наличие на правила от вида:

myhost ALL = (ALL, !root) NOPASSWD: /usr/bin/id

Проблемът е отстранен в версията Sudo 1.8.28. Поправката също е налична под формата на пач. В дистрибутивите уязвимостта вече е отстранена в Debian, Arch Linux, SUSE/openSUSE, Ubuntu, Gentoo и FreeBSD. По времето, когато новината беше написана, проблемът остава неизправен в RHEL и Fedora. Уязвимостта е открита от изследователи по сигурността от компанията Apple.

Източник: opennet.ru