🥇Уязвимост в ld.so OpenBSD

Динамичен зареждач ld.so, част от OpenBSD, при определени условия може да SUID/SGID-приложение остави променлива среда LD_LIBRARY_PATH и по този начин да позволи зареждането на външен код в контекста на процес, работещ с повишени привилегии. Пачове за корекция на уязвимостта са налични за релизи 6.5 и 6.6. Бинарни пачове (syspatch) за платформи amd64, i386 и arm64 вече са в производство и трябва да бъдат налични за изтегляне към момента на публикуване на тази новина.

Същността на проблема: в хода на работата ld.so първо извлича от средата стойността на променливата LD_LIBRARY_PATH, с помощта на функцията _dl_split_path() я превръща в масив от стрингове — пътища към директории. Ако по-късно се установи, че текущият процес е стартиран от SUID/SGID-приложение, то създаденият масив и самата променлива LD_LIBRARY_PATH се изчистват. При това, ако по време на работа _dl_split_path() се сблъска с недостиг на памет (което е трудно поради явното ограничение на размера на променливите среда от 256 килобайта, но теоретично възможно), то променливата _dl_libpath ще получи стойност NULL, а последващата проверка на стойността на тази променлива ще накара да се пропусне извикването на _dl_unsetenv("LD_LIBRARY_PATH").

Уязвимостта е открита от специалисти Qualys, както и няколко по-рано открити проблеми. Открилите уязвимостта изследователи по сигурността отбелязаха бързината на решаването на проблема: пачът беше подготвен и обновленията бяха издадени в рамките на три часа след уведомлението от проекта OpenBSD.

Допълнение: На проблема е присвоен номер CVE-2019-19726. В списъка за разпространение oss-security е направен официален анонс, включващ прототип на експлоит, работещ в OpenBSD 6.6, 6.5, 6.2 и 6.1 на архитектури
amd64 и i386 (експлоитът може да бъде адаптиран и за други архитектури).
Проблемът е експлоатиран в инсталация по подразбиране и позволява на непривилегирован локален потребител да изпълни код с права root чрез подмяна на библиотека при стартиране на SUID-утилити chpass или passwd. За създаване на необходимите условия за експлоатация за недостиг на памет се използва наложеното ограничение RLIMIT_DATA чрез setrlimit.

Източник: opennet.ru

Уязвимост в ld.so на OpenBSD