Уязвимости в Nix и Lix, позволяващи повишаване на привилегиите в системата

В пакетните мениджъри Nix и Lix е открита уязвимост, която позволява изпълнението на код с правата на фоновия процес, който в NixOS и многопотребителските инсталации работи под потребителя root. Проблемът (CVE не е присвоен) се проявява във фоновия процес nix-daemon, използван за организиране на достъп до сборни операции и хранилище на пакети за непривилегировани потребители.

Уязвимостта произтича от липса на ограничение за рекурсивна обработка на директории в кода за анализ на архиви NAR (Nix Archive), което може да се използва за инициране на изчерпване на стека на съпратки и презаписване на съдържанието на купа (heap), разположена след стека без защитни страници в паметта. Проблемът може да бъде експлоатиран от всеки потребител, способен да установява връзки с nix-daemon. По подразбиране всички потребители имат такава възможност, което позволява повишаване на привилегиите им до потребител root в многопотребителски инсталации Nix.

Проблемът е решен с ограничение на нивото на рекурсия до 64 вложени директории, добавяне на защитни страници в паметта между стека и купата, както и чрез реализиране на допълнителни проверки на символични връзки в NAR. В Nix уязвимостта се проявява от версия 2.24.4 и е отстранена в изданията 2.34.7, 2.33.6, 2.32.8, 2.31.5, 2.30.5, 2.29.4, 2.28.7. В Lix уязвимостта се появява в издание 2.93.0 и е отстранена в обновленията 2.93.4, 2.94.2 и 2.95.2. Пакетният мениджър Guix не е засегнат от уязвимостта.

Освен това в публикуваните обновления на Nix е отстранена още една уязвимост (CVE липсва), която има средна степен на опасност (4.3 от 10). Проблемът се проявява от издание Nix 2.24.7 и позволява запис на файлове в област извън коренната директория, в която се извършва разархивиране на архива. Уязвимостта се експлоатира чрез създаване в tar файлове на елементи с абсолютни файлови пътища. При разархивиране на подобни архиви с командите „nix-prefetch-url —unpack“ или „nix store prefetch-file —unpack“ файловете с абсолютни пътища се извличат без преобразуване в относителен път.

Източник: opennet.ru