Уязвимости в networkd-dispatcher, позволяващи получаване на права root

Изследователи по сигурността от компанията Microsoft откриха две уязвимости (CVE-2022-29799, CVE-2022-29800) в услугата networkd-dispatcher, носещи кодовото име Nimbuspwn, които позволяват на потребител без привилегии да изпълнява произволни команди с права на root. Проблемът е отстранен в версията на networkd-dispatcher 2.2. Няма информация относно публикуването на актуализации от дистрибуциите (Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux).

Networkd-dispatcher се използва в много дистрибуции на Linux, включително Ubuntu, които използват фоновия процес systemd-networkd за конфигуриране на мрежовите параметри, и изпълнява функции, подобни на NetworkManager-dispatcher, т.е. стартира скриптове при промяна на състоянието на мрежовото соединение, например, при стартиране VPN след инсталиране на основното мрежово соединение.

Свързаният с networkd-dispatcher фонов процес се изпълнява с права на root и получава сигнали за събития чрез шина D-Bus. Информацията за събития, свързани с промяната на състоянието на мрежовите соединения, се изпраща от услугата systemd-networkd. Проблемът е, че потребители без привилегии могат да генерират събитие за несъществуващо състояние и да иницират стартирането на своя скрипт, който ще бъде изпълнен с права на root.

Systemd-networkd е проектиран да стартира само системни скриптове-обработчици, разположени в директорията /etc/networkd-dispatcher и недостъпни за замяна от потребителя, но заради уязвимостта (CVE-2022-29799) в кода за обработка на файловия път имаше възможност за излизане извън основната директория и стартиране на произволни скриптове. В частност, при генериране на файловия път към скрипта се използваха предадените чрез D-Bus стойности OperationalState и AdministrativeState, в които не се извършваше почистване на специални символи. Нападателят можеше да генерира свое собствено състояние, в името на което присъстваха символи „..\/“ и да пренасочи заявката на networkd-dispatcher в друга директория.

Втората уязвимост (CVE-2022-29800) е свързана с състоянието на състезание — между проверката на параметрите на скрипта (парамедр на root) и стартирането му имаше малък времеви интервал, достатъчен за замяна на файла и заобикаляне на проверката за принадлежността на скрипта на потребителя root. Освен това в networkd-dispatcher липсваше проверка за символични връзки, включително при стартиране на скриптове чрез повикване на subprocess.Popen, което значително улесни организацията на атаката.

Експлоатационна техника:

• Създават се каталог "\/tmp\/nimbuspwn" и символична връзка "\/tmp\/nimbuspwn\/poc.d", която указва на каталога "\/sbin", използван за проверка за изпълняеми файлове, принадлежащи на root.
• За изпълняемите файлове от "\/sbin" се създават файлове с аналогично име в каталога "\/tmp\/nimbuspwn", например, за файла "\/sbin\/vgs" се създава изпълняем файл "\/tmp\/nimbuspwn\/vgs", принадлежащ на непривилегирован потребител, в който се вмества кодът, който атакуващият желае да изпълни.
• Чрез D-Bus процесът networkd-dispatcher изпраща сигнал, указващ в OperationalState стойността "..\/..\/..\/tmp\/nimbuspwn\/poc". За изпращане на сигнала в пространството на имената "org.freedesktop.network1" се използва възможността за свързване на собствени обработвачи към systemd-networkd, например, чрез манипулации с gpgv или epmd, или може да се възползвате от това, че systemd-networkd не е стартиран по подразбиране (например, в Linux Mint).
• След получаване на сигнала, Networkd-dispatcher извършва построяването на списък с изпълними файлове, принадлежащи на потребителя root и достъпни в каталога "\/etc\/networkd-dispatcher\/..\/..\/..\/tmp\/nimbuspwn\/poc.d", който в действителност указва на "\/sbin".
• В момента, когато списъкът с файлове е получен, но скриптът все още не е стартиран, символичната връзка се пренасочва от "\/tmp\/nimbuspwn\/poc.d" на "\/tmp\/nimbuspwn" и networkd-dispatcher стартира с права root скрипт, разположен от атакуващия.

Източник: opennet.ru