Уязвимост в пакетния мениджър Guix, позволяваща отдалечено изпълнение на код в системата

В пакетния мениджър Guix са установени уязвимости (CVE не назначени) в изпълнението на вътрешната команда «guix substitute», която автоматично бива извиквана от фоновия процес guix-daemon при извършване на операции по инсталиране на пакети. Командата се използва за изтегляне на вече компилирани бинарни пакети от външни сървъри с проверка на тяхната целостност чрез цифров подпис. Най-опасната уязвимост позволява на отдалечен нападател да организира изпълнението на код на системата на потребителя с правата, под които работи фоновият процес guix-daemon.

Проблемът засяга всички конфигурации с процеса guix-daemon, независимо от това, дали той е стартиран с права root или под непривилегирован потребител. За експлоатация на уязвимостта е достатъчна всяка опит за изтегляне на готови бинарни пакети от сървър, контролирани от атакуващия. При това злонамереният сървър не е задължително да бъде изрично избран или указан в настройките на потребителя — той може да бъде определен чрез опцията «—discover», която позволява подмяна на сървъра по време на MITM атака. В конфигурации, в които guix-daemon е стартиран с повишени привилегии, локален потребител може да извърши атака, ако има възможност за свързване към фоновия процес чрез Unix сокет (по подразбиране достъпен за всички потребители).

Уязвимостта е присъства в обработчика «restore-file», използван за разопаковане при зареждане на пакета, без да изчака пълното му зареждане и верификация на изтегления архив чрез цифров подпис. Проблемът е причинен от липсата на проверка на наличие на символи «.», «/» и «..» в пътищата на файловете, разположени в архива. Чрез подмяна на архив с неправилни имена на файлове, атакуващият може да постигне запис на произволен файл в произволна област на файловата система, в зависимост от правата, под които работи фоновият процес guix-daemon.

За да организира изпълнението на своя код в системата, например, може да добави автоматизирания скрипт, като «~/ .bashrc» или «~/ .profile», или да промени файла «~/ .ssh/authorized_keys» с ключовете за SSH. Ако в многопотребителска система guix-daemon работи под потребителя root, атакуващият може да презапише файла с пароли или системни скриптове.

Възможността за създаване на подставни сървъри за разпространяване на злонамерени пакети е причинена от факта, че процедурата за зареждане на метаданни (narinfo) за наличните бинарни пакети (fetch-narinfos) не извършваше проверка на сертификата на сървъра, разчитайки на това, че основната част от метаданните е подписана цифрово. Както се оказа, подписът не обхващаше URL адреса за зареждане на пакета, което позволяваше подмяна без нарушаване на целостта на метаданните. В крайна сметка подставният пакет би бил отхвърлен заради непреминаване на проверката на съдържанието му по хеш, заверен с цифров подпис, но тази проверка се извършваше след етапа на разопаковане, на който се проявяваше проблем с специалните символи в имената на файловете.

В допълнение към командата „guix substitute“, уязвимият обработчик „restore-file“ е активен в работата на командите „guix offload“, „guix archive —extract“ и „guix challenge“, чрез които също може да се експлоатира уязвимостта. Като обходен маршрут за блокиране на уязвимостта, се предлага явно да се посочи опцията „—no-substitutes“ във всички команди guix. Корекцията на уязвимостта е приета в кода на Guix. На потребителите се препоръчва незабавно да инсталират подготовените от разработчиците актуализации za guix и guix-daemon.

В допълнение към отбелязаната проблематика в Guix, са отстранени още три уязвимости:

• Възможността за подмяна на бинарни пакети поради липсата на проверка за съответствието на запрашения пакет с върнатите метаданни в обработчика fetch-narinfos. Уязвимостта може да се използва за предоставяне на остаряла версия на запрашения пакет, съдържаща уязвимости.
• Определяне на съдържанието на първия ред на произволни файлове в системата чрез предаване на заявка от локален потребител с URI „file://“ („—substitute-urls file:///etc/shadow“). Ако guix-daemon се изпълнява с права на root, той ще прочете запрашения файл, ще определи, че не е метаданни и ще извлече грешка, в текста на която ще бъде споменат редът, който не е успял да се разбере.
• Указанието за специално форматирано име на външен репозиториум («..\/..\/..\/..\/newfile») при изпълнение на командите «guix pull» и «guix time-machine» позволява записването на данни с информация за комита в произволен съществуващ файл в файловата система, ако съдържанието му наподобява списък от редици на езика Scheme. Уязвимостта може да се използва за DoS атаки, но не е изключено чрез хитри манипулации с псевдо-ФС /proc да се постигнат по-опасни манипулации със системата.

Източник: opennet.ru