Атака срещу системи за онлайн компилиране чрез манипулиране на заглавни файлове

Хано Бьок, автор на проекта fuzzing-project.org, забелязано относно уязвимостта на интерактивните компилационни интерфейси, които позволяват обработка на външен код на езика C. При посочване на произволен път в директивата "#include", грешка при компилиране включва съдържанието на файл, който не може да бъде компилиран.

Например, чрез заместване на „#include “ в кода в една от онлайн услугите, изходът успя да получи хеш на паролата на root потребителя от файла /etc/shadow, което също показва, че уеб услугата работи с root права и изпълнява командите за компилация като root (възможно е изолиран контейнер да е бил използван по време на компилацията, но работата като root в контейнер също е проблем). Проблемната услуга, в която е възможно да се възпроизведе проблемът, все още не е обявена. Опитите за отваряне на файлове в псевдо FS /proc бяха неуспешни, защото GCC ги третира като празни файлове, но отварянето на файлове от /sys работи.

Източник: opennet.ru