Уязвимост в Python, която позволява системни команди да бъдат извиквани от изолирани скриптове

Публикуван е метод за заобикаляне на изолирани системи за изпълнение на код в Python, базиран на използването на отдавна известен бъг, появил се в Python 2.7, идентифициран през 2012 г. и все още не е коригиран в Python 3. Грешката позволява използването на специално свързани Python код за иницииране на достъп до вече освободена памет (Use-After-Free) в Python. Първоначално се предполагаше, че грешката не представлява заплаха за сигурността и само в много редки случаи, обикновено изкуствено създадени, може да доведе до необичайно прекратяване на скрипта.

Изследовател по сигурността под псевдоним kn32 се заинтересува от проблема и успя да подготви работещ експлойт, който прави възможно извикването на всяка системна команда, без да имате директен достъп до методи като os.system. Експлойтът е реализиран в чист Python и работи без импортиране на външни библиотеки и без инсталиране на манипулатора „code.__new__“. От куките се използва само “builtin.__id__”, което обикновено не е забранено. От практическа гледна точка, предложеният код може да се използва за заобикаляне на механизми за изолация в различни услуги и среди (например в среди за обучение, онлайн черупки, вградени манипулатори и т.н.), които позволяват изпълнението на код на Python, но ограничават налични повиквания и не позволяват методи за повикване като os.system.

Предложеният код е аналог на извикването на os.system, което работи чрез използване на уязвимост в CPython. Експлойтът работи с всички версии на Python 3 на системи с x86-64 архитектура и демонстрира стабилна работа на Ubuntu 22.04, дори когато режимите на защита PIE, RELRO и CET са активирани. Работата се свежда до получаване на информация от кода на Python за адреса на една от функциите в изпълнимия код на CPython. Въз основа на този адрес се изчисляват основният адрес на CPython в паметта и адресът на функцията system() в екземпляра на libc, зареден в паметта. Накрая се инициира директен преход към конкретен системен адрес със замяна на указателя на първия аргумент в реда “/bin/sh”.

Източник: opennet.ru