Уязвимости в OpenBSD, които позволяват повишаване на привилегиите и избягване на автентикацията в smtpd, ldapd и radiusd

Компания Qualys установи четири уязвимости в OpenBSD, една от които позволява дистанционно свързване без удостоверяване към някои мрежови услуги, а три други увеличават привилегиите си в системата. В доклада на Qualys е отбелязана бързата реакция на разработчиците на OpenBSD — всички проблеми бяха отстранени в OpenBSD 6.5 и OpenBSD 6.6 в рамките на 40 часа след приватно уведомление.

Отдалечено експлоатирана уязвимост е причинена от грешка при организиране на извикването на обработчика на удостоверяване в библиотеката libc, която извиква
програмата /usr/libexec/auth/login_style с предаване на аргументи в командния ред. Включително при извикването на login_style с опционален параметър «-s service» е позволено предаването на името на протокола. В случай на използване на символа «-« в началото на името на потребителя, това име ще бъде обработено като опция при стартиране на login_style. Следователно, ако се посочи при удостоверяване името на потребителя «-schallenge» или «-schallenge:passwd», то login_style ще разглежда запитването като заявка за използване на обработчика S/Key.

Проблемът е, че протоколът S/Key в login_style се поддържа само формално и фактически се игнорира, като се извежда признак за успешно удостоверяване. Така атакуващият може, представяйки се за потребител «-schallenge», да заобиколи удостоверяването и да получи достъп без въвеждане на парола или ключове. Потенциално проблемът засяга всички мрежови услуги, които използват стандартни извиквания на libc за удостоверяване. Например, възможността за заобикаляне на удостоверяването е потвърдена в smtpd (AUTH PLAIN), ldapd и radiusd.

В sshd уязвимостта не се проявява, тъй като в него има допълнителна защита с проверка за присъствието на потребителя в системата. Въпреки това, sshd може да се използва за проверка на уязвимостта на системата — при опит за свързване с името на потребителя «-sresponse:passwd» връзката се блокира, тъй като sshd чака от login_passwd да върне параметрите на извикването (challenge), а login_passwd очаква предаване на липсващите параметри (имената «-sresponse» се възприемат като опция). Потенциално локален атакуващ може да се опита да заобиколи удостоверяването в утилитата su, но предаването на името «-sresponse» води до срив на процеса поради връщане на нулев указател при изпълнение на функцията getpwnam_r(«-schallenge», …).

Други уязвимости:

• CVE-2019-19520 — локално повишаване на привилегиите чрез манипулации с утилитата xlock, доставяна с флага sgid, променящ групата на «auth». В кода на xlock, преопределението на пътищата към библиотеки е разрешено само при смяна на идентификатора на потребителя (setuid), което позволява на атакуващия да промени променливата на средата «LIBGL_DRIVERS_PATH» и да задейства зареждането на собствена споделена библиотека, чийто код ще бъде изпълнен след повишаване на привилегиите до групата «auth».
• CVE-2019-19522 — позволява на локален потребител, член на групата «auth», да стартира код с права root при включване на S/Key или YubiKey в системата (по подразбиране неактивни). Попадането в групата «auth», която може да бъде достигната чрез експлозия на гореспоменатата уязвимост в xlock, позволява записването на файлове в директориите /etc/skey и /var/db/yubikey. Например, атакуващият може да добави нов файл /etc/skey/root за генериране на еднократни ключове за аутентификация под потребителя root чрез S/Key.
• CVE-2019-19519 — възможност за повишаване на лимитите на ресурсите чрез манипулации с утилитата su. Когато бъде зададена опцията «-L», която предполага циклично повтаряне на опити за аутентификация в случай на неуспех, класът на потребителя се задава само веднъж и не се нулира при следващи опити. Атакуващият може да изпълни «su -l -L» и при първия опит да въведе чужд логин с друг клас сметка, но при втория опит успешно да се аутентифицира под себе си. В тази ситуация на потребителя ще бъдат зададени лимити, съответстващи на класа на потребителя, указан при първия опит (например максималният брой процеси или размерът на паметта за процеса). Методът работи само за заемане на лимити от непривилегировани потребители, тъй като за потребителя root е необходимо присъствието в групата wheel.

Допълнително може да бъде отбелязано реализация в OpenBSD нов метод за проверка на допустимостта на повикванията на системни повиквания, допълнително усложняващ експлоатацията на уязвимостите. Методът допуска изпълнението на системни повиквания, само ако те се извикват от предварително регистрирани области на паметта. За маркиране на областите на паметта. предложен ново системно повикване. msyscall().

Източник: opennet.ru