Уязвимост в Python, позволяваща извикване на системни команди от изолирани скриптове

Публикуван е метод за заобикаляне на системите за изолирано изпълнение на код на Python, основан на използването на отдавна известна грешка, появила се в Python 2.7, открита през 2012 година и все още не поправена в Python 3. Грешката позволява чрез специално компилиран код на Python да се активира достъп до вече освободена памет (Use-After-Free) в CPython. Първоначално се смяташе, че грешката не представлява заплаха за сигурността и само в много редки случаи, обикновено изкуствено създадени, може да доведе до аварийно приключване на скрипта.

Изследовател на сигурността с псевдоним kn32 се заинтересува от проблема и успя да подготви работещ експлоит, позволяващ извикването на всяка системна команда, без пряк достъп до методи като os.system. Експлоитът е реализиран на чист Python и работи без импорт на външни библиотеки и без инсталиране на обработчик ‘code.__new__’. Използва се единствено ‘builtin.__id__’, който обикновено не е забранен. От практическа страна, предложен код може да се използва за заобикаляне на механизмите за изолация в различни услуги и среди (например, в обучителни среда, онлайн оболки, вградени обработчици и т.н.), допускащи изпълнение на код на Python, но ограничаващи наличните извиквания и не позволяващи достъп до такива методи, като os.system.

Предложеният код представлява аналог на извикването на os.system, работещ чрез експлоатация на уязвимостта в CPython. Експлоитът работи с всички версии на Python 3 на системи с архитектура x86-64 и демонстрира стабилна работа в Ubuntu 22.04, дори при активиране на защитни режими на PIE, RELRO и CET. Работата се състои в получаване от кода на Python на информация за адрес на една от функциите в изпълнявания код на CPython. На базата на този адрес, се изчислява основният адрес на CPython в паметта и адресът на функцията system() в заредения в паметта екземпляр на libc. В завършек се инициира пряк преход по определен адрес на system, подменяйки указателя на първия аргумент със стринга ‘/bin/sh’.

Източник: opennet.ru