PolKit-এ গুরুতর দুর্বলতা বেশিরভাগ লিনাক্স ডিস্ট্রিবিউশনে রুট অ্যাক্সেসের অনুমতি দেয়

Qualys একটি দুর্বলতা চিহ্নিত করেছে (CVE-2021-4034) Polkit (পূর্বে PolicyKit) সিস্টেম উপাদান যা ডিস্ট্রিবিউশনে ব্যবহার করা হয় যাতে সুবিধাবঞ্চিত ব্যবহারকারীদের উচ্চতর অ্যাক্সেসের অধিকারের প্রয়োজন হয় এমন ক্রিয়া সম্পাদন করার অনুমতি দেওয়া হয়। দুর্বলতা একটি সুবিধাবঞ্চিত স্থানীয় ব্যবহারকারীকে তাদের সুবিধাগুলি রুট করতে এবং সিস্টেমের সম্পূর্ণ নিয়ন্ত্রণ লাভ করতে দেয়। সমস্যাটির কোডনাম ছিল PwnKit এবং এটি একটি কার্যকরী শোষণ তৈরি করার জন্য উল্লেখযোগ্য যা বেশিরভাগ Linux ডিস্ট্রিবিউশনে ডিফল্ট কনফিগারেশনে চলে।

সমস্যাটি PolKit-এর pkexec ইউটিলিটিতে উপস্থিত, যা SUID রুট ফ্ল্যাগের সাথে আসে এবং নির্দিষ্ট PolKit নিয়ম অনুযায়ী অন্য ব্যবহারকারীর সুবিধার সাথে কমান্ড চালানোর জন্য ডিজাইন করা হয়েছে। pkexec-এ পাস করা কমান্ড লাইন আর্গুমেন্টের ভুল পরিচালনার কারণে, একজন সুবিধাবিহীন ব্যবহারকারী প্রমাণীকরণ বাইপাস করতে পারে এবং অ্যাক্সেসের নিয়ম সেট না করেই তাদের কোড রুট হিসাবে চালাতে পারে। একটি আক্রমণের জন্য, PolKit-এ কী সেটিংস এবং সীমাবদ্ধতা নির্দিষ্ট করা হয়েছে তা বিবেচ্য নয়, এটি যথেষ্ট যে pkexec ইউটিলিটি সহ এক্সিকিউটেবল ফাইলের জন্য SUID রুট অ্যাট্রিবিউট সেট করা আছে।

Pkexec একটি প্রক্রিয়া শুরু করার সময় পাস করা কমান্ড লাইন আর্গুমেন্ট কাউন্ট (argc) এর বৈধতা পরীক্ষা করে না। pkexec-এর বিকাশকারীরা ধরে নিয়েছিল যে argv অ্যারের প্রথম এন্ট্রিতে সর্বদা প্রক্রিয়ার নাম থাকে (pkexec), এবং দ্বিতীয়টিতে হয় একটি NULL মান বা pkexec এর মাধ্যমে চালু হওয়া কমান্ডের নাম। যেহেতু আর্গুমেন্টের গণনা অ্যারের প্রকৃত বিষয়বস্তুর বিরুদ্ধে চেক করা হয়নি এবং সর্বদা 1-এর বেশি বলে ধরে নেওয়া হয়েছিল, যদি একটি প্রক্রিয়া একটি খালি argv অ্যারে পাস করা হয়, যেমন Linux execve ফাংশন অনুমতি দেয়, pkexec NULL কে প্রথম আর্গুমেন্ট হিসাবে বিবেচনা করবে ( প্রক্রিয়ার নাম) এবং পরেরটি বাফার মেমরির বাইরে, অ্যারের পরবর্তী বিষয়বস্তুর মতো। |———+———+——+————|———+———+——+———— | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+—-|——| VVVVVV "প্রোগ্রাম" "-বিকল্প" NULL "মান" "PATH = নাম" NULL

সমস্যা হল যে argv অ্যারের পরে পরিবেশের ভেরিয়েবল ধারণকারী মেমরিতে একটি envp অ্যারে রয়েছে। এইভাবে, argv অ্যারে খালি থাকলে, pkexec এনভায়রনমেন্ট ভেরিয়েবল সহ অ্যারের প্রথম এলিমেন্ট থেকে উন্নত সুবিধা সহ চালানো কমান্ড সম্পর্কে ডেটা বের করে (argv[1] envp[0]-এর মতো হয়ে যায়), যার বিষয়বস্তু নিয়ন্ত্রণ করা যায় আক্রমণকারী দ্বারা।

argv[1]-এর মান পেয়ে, pkexec চেষ্টা করে, PATH-এ ফাইলের পাথগুলি বিবেচনায় নিয়ে, এক্সিকিউটেবল ফাইলের সম্পূর্ণ পাথ নির্ধারণ করতে এবং argv[1]-এ ফিরে যাওয়ার সম্পূর্ণ পথ সহ স্ট্রিংটিতে একটি পয়েন্টার লেখে, যা প্রথম এনভায়রনমেন্ট ভেরিয়েবলের মান ওভাররাইট করে, যেহেতু argv[ 1] envp[0] এর সাথে অভিন্ন। প্রথম এনভায়রনমেন্ট ভেরিয়েবলের নাম পরিবর্তন করে, একজন আক্রমণকারী pkexec-এ অন্য এনভায়রনমেন্ট ভেরিয়েবল প্রতিস্থাপন করতে পারে, উদাহরণস্বরূপ, "LD_PRELOAD" এনভায়রনমেন্ট ভেরিয়েবল প্রতিস্থাপন করতে পারে, যা সুইড প্রোগ্রামে অনুমোদিত নয় এবং তাদের শেয়ার করা লাইব্রেরি লোড করার ব্যবস্থা করে প্রক্রিয়া

কাজের কাজে GCONV_PATH ভেরিয়েবল প্রতিস্থাপন করা জড়িত, যা প্রতীক ট্রান্সকোডিং লাইব্রেরির পথ নির্ধারণ করতে ব্যবহৃত হয়, g_printerr() ফাংশন কল করার সময় গতিশীলভাবে লোড হয়, যার কোড iconv_open() ব্যবহার করে। GCONV_PATH-এ পথটিকে পুনরায় সংজ্ঞায়িত করে, একজন আক্রমণকারী নিশ্চিত করতে পারে যে এটি লোড করা স্ট্যান্ডার্ড আইকনভ লাইব্রেরি নয়, বরং তার নিজস্ব লাইব্রেরি, যেখান থেকে হ্যান্ডলারগুলি কার্যকর করা হবে যখন একটি ত্রুটি বার্তা প্রদর্শিত হবে যখন pkexec এখনও চলছে রুট অধিকার এবং লঞ্চ করার আগে অনুমতি চেক করা হয়।

এটি উল্লেখ করা হয়েছে যে সমস্যাটি মেমরি দুর্নীতির কারণে সৃষ্ট হওয়া সত্ত্বেও, ব্যবহৃত হার্ডওয়্যার আর্কিটেকচার নির্বিশেষে এটি নির্ভরযোগ্যভাবে এবং বারবার শোষণ করা যেতে পারে। প্রস্তুত শোষণ উবুন্টু, ডেবিয়ান, ফেডোরা এবং সেন্টোসে সফলভাবে পরীক্ষা করা হয়েছে, তবে অন্যান্য বিতরণেও ব্যবহার করা যেতে পারে। আসল শোষণটি এখনও সর্বজনীনভাবে উপলব্ধ নয়, এটি নির্দেশ করে যে এটি তুচ্ছ এবং সহজেই অন্যান্য গবেষকরা পুনরায় তৈরি করতে পারেন, তাই মাল্টি-ইউজার সিস্টেমে যত তাড়াতাড়ি সম্ভব প্যাচ আপডেট ইনস্টল করা গুরুত্বপূর্ণ। পোলকিট বিএসডি সিস্টেম এবং সোলারিসের জন্যও উপলব্ধ, তবে সেগুলিতে ব্যবহারের জন্য অধ্যয়ন করা হয়নি। যা জানা যায় তা হল ওপেনবিএসডি-তে আক্রমণ করা যাবে না, যেহেতু ওপেনবিএসডি কার্নেল যখন execve() কল করা হয় তখন একটি নাল argc মান পাস করার অনুমতি দেয় না।

সমস্যাটি মে 2009 থেকে উপস্থিত রয়েছে, pkexec কমান্ড যোগ করার পর থেকে। PolKit দুর্বলতার জন্য ফিক্স বর্তমানে একটি প্যাচ হিসাবে উপলব্ধ (কোন প্যাচ রিলিজ প্রকাশ করা হয়নি), কিন্তু যেহেতু বিতরণ ডেভেলপারদের সমস্যাটি আগে থেকেই অবহিত করা হয়েছিল, বেশিরভাগ বিতরণগুলি দুর্বলতা সম্পর্কে তথ্য প্রকাশের সাথে একযোগে আপডেটটি প্রকাশ করেছে। সমস্যাটি RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux এবং Manjaro-এ স্থির করা হয়েছে। দুর্বলতা অবরুদ্ধ করার জন্য একটি অস্থায়ী ব্যবস্থা হিসাবে, আপনি /usr/bin/pkexec প্রোগ্রাম ("chmod 0755 /usr/bin/pkexec") থেকে SUID রুট পতাকা সরাতে পারেন।

উত্স: opennet.ru