Уязвимости в Nix и Lix, позволяващи повишаване на привилегиите в системата

В пакетните мениджъри Nix и Lix е открито уязвимост, позволяваща изпълнение на код с правата на фонов процес, който в NixOS и многопотребителските инсталации се изпълнява под потребител root. Проблемът (CVE не е присвоен) се проявява във фоновия процес nix-daemon, използван за организиране на достъп на непривилегировани потребители до операции по компилация и хранилище на пакети.

Уязвимостта произтича от липсата на ограничение на рекурсивната обработка на директории в кода за парсване на архиви NAR (Nix Archive), което може да се използва за иницииране на изчерпване на стека на корутини и презапис на съдържанието на купчина (heap), разположена след стека без странични защити на паметта. Проблемът може да бъде експлоатиран от всеки потребител, способен да установи връзка с nix-daemon. По подразбиране всички потребители имат такава възможност, което позволява повишаване на привилегиите до потребител root в многопотребителските инсталации на Nix.

Проблемът е решен чрез ограничаване на нивото на рекурсия до 64 вложени директории, добавяне на странични защити на паметта между стека и купчината, както и реализация на допълнителни проверки на символични линкове в NAR. В Nix уязвимостта се проявява от версия 2.24.4 и е отстранена в версиите 2.34.7, 2.33.6, 2.32.8, 2.31.5, 2.30.5, 2.29.4, 2.28.7. В Lix уязвимостта се появява в версия 2.93.0 и е отстранена в обновленията 2.93.4, 2.94.2 и 2.95.2. Мениджърът на пакети Guix не е засегнат от уязвимостта.

Освен това, в публикуваните актуализации на Nix е отстранена още една уязвимост (CVE няма), която получава среден риск (4.3 от 10). Проблемът се проявява от версия Nix 2.24.7 и позволява организиране на запис на файлове извън кореновата директория, в която се разархивира архивът. Уязвимостта се експлоатира чрез създаване на елементи с абсолютни файлови пътища в tar файловете. При разархивиране на подобни архиви с командата "nix-prefetch-url —unpack" или "nix store prefetch-file —unpack" файловете с абсолютни пътища се извлекат такива, каквито са, без преобразуване в относителен път.

Източник: opennet.ru