স্ন্যাপ প্যাকেজ ম্যানেজমেন্ট টুলকিটে রুট দুর্বলতা

Qualys এই বছর তৃতীয় বিপজ্জনক দুর্বলতা চিহ্নিত করেছে (CVE-2022-3328) স্ন্যাপ-কনফাইন ইউটিলিটি, যা SUID রুট ফ্ল্যাগের সাথে আসে এবং স্বয়ংসম্পূর্ণ স্ন্যাপে বিতরণ করা অ্যাপ্লিকেশনগুলির জন্য একটি কার্যকরী পরিবেশ তৈরি করতে snapd প্রক্রিয়ার দ্বারা বলা হয়। প্যাকেজ দুর্বলতা স্থানীয় সুবিধাবঞ্চিত ব্যবহারকারীকে ডিফল্ট উবুন্টু কনফিগারেশনে রুট হিসাবে কোড এক্সিকিউশন অর্জন করতে দেয়। সমস্যাটি snapd 2.57.6 রিলিজে ঠিক করা হয়েছে। উবুন্টুর সব সমর্থিত শাখার জন্য প্যাকেজ আপডেট প্রকাশ করা হয়েছে।

মজার বিষয় হল, স্ন্যাপ-কনফাইনে একই রকম ফেব্রুয়ারির দুর্বলতা ঠিক করার প্রক্রিয়া চলাকালীন প্রশ্নে দুর্বলতা প্রবর্তিত হয়েছিল। গবেষকরা একটি কার্যকরী শোষণ প্রস্তুত করতে সক্ষম হয়েছেন যা উবুন্টু সার্ভার 22.04-এ রুট অ্যাক্সেস সরবরাহ করে, যা স্ন্যাপ-কনফাইনের দুর্বলতা ছাড়াও মাল্টিপাথড প্রক্রিয়ার দুটি দুর্বলতাও জড়িত (CVE-2022-41974, CVE-2022-41973) , প্রিভিলেজড কমান্ডের ট্রান্সমিশন এবং সিম্বলিক লিঙ্কের সাথে অনিরাপদ কাজ করার সময় অথরিটি চেক বাইপাস করার সাথে যুক্ত।

snap-confine-এর দুর্বলতা must_mkdir_and_open_with_perms() ফাংশনে রেসের অবস্থার কারণে ঘটে, যা /tmp/snap-এর প্রতিস্থাপন থেকে রক্ষা করার জন্য যোগ করা হয়েছে। $SNAP_NAME ডিরেক্টরিটি মালিককে চেক করার পরে একটি প্রতীকী লিঙ্ক সহ, কিন্তু মাউন্ট সিস্টেমে কল করার আগে স্ন্যাপ ফরম্যাটে একটি প্যাকেজের জন্য এটিতে বাইন্ড-মাউন্ট ডিরেক্টরিতে কল করুন। অতিরিক্ত সুরক্ষার জন্য ছিল /tmp/snap.$SNAP_NAME ডিরেক্টরিটিকে /tmp-এ অন্য একটি ডিরেক্টরিতে নামকরণ করা, যদি এটি বিদ্যমান থাকে এবং রুটের মালিকানাধীন না হয়।

যখন /tmp/snap.$SNAP_NAME ডিরেক্টরির নাম পরিবর্তনের ক্রিয়াকলাপটি ব্যবহার করা হয়, তখন গবেষকরা এই সত্যটির সুবিধা নেন যে snap-confine এছাড়াও স্ন্যাপ প্যাকেজের বিষয়বস্তুর রুটের জন্য একটি /tmp/snap.rootfs_XXXXXX ডিরেক্টরি তৈরি করে। নামের "XXXXXX" অংশটি mkdtemp() দ্বারা এলোমেলোভাবে বেছে নেওয়া হয়েছে, কিন্তু "rootfs_XXXXXX" নামের একটি প্যাকেজ sc_instance_name_validate ফাংশনে যাচাই করা যেতে পারে (অর্থাৎ ধারণা হল $SNAP_NAME কে "rootfs_XXXXXX" এ সেট করা হবে এবং তারপরে নাম পরিবর্তন করা হবে রুট স্ন্যাপ দিয়ে /tmp/snap.rootfs_XXXXXX ডিরেক্টরিকে ওভাররাইট করা হবে)।

একই সাথে /tmp/snap.rootfs_XXXXXX এর ব্যবহার এবং /tmp/snap.$SNAP_NAME এর নাম পরিবর্তন করার জন্য, স্ন্যাপ-কনফিনের দুটি উদাহরণ চালু করা হয়েছিল। প্রথম দৃষ্টান্ত /tmp/snap.rootfs_XXXXXX তৈরি হলে, প্রক্রিয়াটি ব্লক হয়ে যাবে এবং একটি দ্বিতীয় দৃষ্টান্ত প্যাকেজ নাম rootfs_XXXXXX দিয়ে শুরু হবে, যার ফলে দ্বিতীয় দৃষ্টান্তের অস্থায়ী ডিরেক্টরি /tmp/snap.$SNAP_NAME রুট ডিরেক্টরিতে পরিণত হবে /tmp/snap প্রথমটির .rootfs_XXXXXX। পুনঃনামকরণ সম্পূর্ণ হওয়ার পরপরই, দ্বিতীয় দৃষ্টান্তটি ক্র্যাশ হয়ে যায়, এবং /tmp/snap.rootfs_XXXXXX রেস কন্ডিশন ম্যানিপুলেশন দিয়ে প্রতিস্থাপিত হয়, যেমনটি ফেব্রুয়ারির দুর্বলতাকে কাজে লাগানোর সময়। প্রতিস্থাপনের পরে, প্রথম দৃষ্টান্ত থেকে মৃত্যুদন্ড লকটি সরানো হয়েছিল এবং আক্রমণকারীরা স্ন্যাপ রুট ডিরেক্টরির উপর সম্পূর্ণ নিয়ন্ত্রণ অর্জন করেছিল।

শেষ ধাপটি ছিল একটি symlink /tmp/snap.rootfs_XXXXXX/tmp তৈরি করা, যেটি sc_bootstrap_mount_namespace() ফাংশন দ্বারা ফাইল সিস্টেমের যেকোনো ডিরেক্টরিতে লিখনযোগ্য রিয়েল ডিরেক্টরি /tmp-কে বাঁধাই-মাউন্ট করার জন্য ব্যবহার করা হয়েছিল, যেহেতু mount() কল মাউন্ট করার আগে সিমলিঙ্ক অনুসরণ করে। এই ধরনের মাউন্টিং AppArmor বিধিনিষেধ দ্বারা অবরুদ্ধ করা হয়েছে, কিন্তু এই ব্লকটি বাইপাস করার জন্য, শোষণটি মাল্টিপাথডে দুটি সহায়ক দুর্বলতা ব্যবহার করেছে।

উত্স: opennet.ru