নেটওয়ার্কডি-ডিসপ্যাচারে দুর্বলতা যা রুট অ্যাক্সেসের অনুমতি দেয়

মাইক্রোসফ্টের নিরাপত্তা গবেষকরা নেটওয়ার্কড-ডিসপ্যাচার সার্ভিসে দুটি দুর্বলতা (CVE-2022-29799, CVE-2022-29800) চিহ্নিত করেছেন, যার কোডনাম Nimbuspwn, যা একটি সুবিধাহীন ব্যবহারকারীকে রুট সুবিধা সহ নির্বিচারে আদেশ কার্যকর করতে দেয়। নেটওয়ার্কডি-ডিসপ্যাচার 2.2-এর রিলিজে সমস্যাটি স্থির করা হয়েছে। ডিস্ট্রিবিউশনের মাধ্যমে আপডেটের প্রকাশনা সম্পর্কে এখনও কোন তথ্য নেই (ডেবিয়ান, আরএইচইএল, ফেডোরা, SUSE, উবুন্টু, আর্চ লিনাক্স)।

নেটওয়ার্কড-ডিসপ্যাচার উবুন্টু সহ অনেক লিনাক্স ডিস্ট্রিবিউশনে ব্যবহার করা হয়, যা নেটওয়ার্ক প্যারামিটার কনফিগার করার জন্য ব্যাকগ্রাউন্ড প্রসেস systemd-networkd ব্যবহার করে এবং NetworkManager-dispatcher এর মতো ফাংশন সম্পাদন করে, যেমন যখন একটি নেটওয়ার্ক সংযোগের অবস্থা পরিবর্তিত হয় তখন স্ক্রিপ্ট চালু করতে নিযুক্ত থাকে, উদাহরণস্বরূপ, এটি মূল নেটওয়ার্ক সংযোগ স্থাপনের পরে একটি VPN চালু করতে ব্যবহৃত হয়।

নেটওয়ার্কডি-ডিসপ্যাচারের সাথে যুক্ত ব্যাকগ্রাউন্ড প্রক্রিয়া রুট হিসাবে চলে এবং D-Bus এর মাধ্যমে ইভেন্ট সিগন্যাল গ্রহণ করে। সিস্টেমড-নেটওয়ার্কড পরিষেবা দ্বারা নেটওয়ার্ক সংযোগের অবস্থার পরিবর্তন সম্পর্কিত ইভেন্টগুলির তথ্য পাঠানো হয়। সমস্যা হল যে সুবিধাবিহীন ব্যবহারকারীরা একটি অস্তিত্বহীন রাষ্ট্র ইভেন্ট তৈরি করতে পারে এবং তাদের স্ক্রিপ্টটিকে রুট হিসাবে কার্যকর করতে ট্রিগার করতে পারে।

Systemd-networkd শুধুমাত্র /etc/networkd-dispatcher ডিরেক্টরিতে অবস্থিত সিস্টেম হ্যান্ডলার স্ক্রিপ্ট চালানোর জন্য ডিজাইন করা হয়েছে এবং ব্যবহারকারী প্রতিস্থাপনের জন্য অ্যাক্সেসযোগ্য নয়, কিন্তু ফাইল পাথ প্রসেসিং কোডে একটি দুর্বলতার (CVE-2022-29799) কারণে, একটি ছিল একটি সীমার বাইরে বেস ডিরেক্টরি এবং নির্বিচারে স্ক্রিপ্ট চালু করার সম্ভাবনা। বিশেষত, স্ক্রিপ্টে ফাইল পাথ তৈরি করার সময়, ডি-বাসের মাধ্যমে প্রেরিত অপারেশনাল স্টেট এবং অ্যাডমিনিস্ট্রেটিভ স্টেট মানগুলি ব্যবহার করা হয়েছিল, যেখানে বিশেষ অক্ষরগুলি সাফ করা হয়নি। আক্রমণকারী তার নিজস্ব অবস্থা তৈরি করতে পারে, যার নামটিতে "../" অক্ষর রয়েছে এবং নেটওয়ার্কডি-ডিসপ্যাচার কলটিকে অন্য ডিরেক্টরিতে পুনঃনির্দেশিত করতে পারে।

দ্বিতীয় দুর্বলতা (CVE-2022-29800) একটি রেসের অবস্থার সাথে সম্পর্কিত - স্ক্রিপ্ট প্যারামিটার চেক করা (রুটের সাথে সম্পর্কিত) এবং এটি চালানোর মধ্যে, একটি সংক্ষিপ্ত সময় ছিল, ফাইলটি প্রতিস্থাপন করার জন্য যথেষ্ট এবং চেকটি বাইপাস করে কিনা। স্ক্রিপ্ট রুট ব্যবহারকারীর অন্তর্গত। উপরন্তু, নেটওয়ার্কডি-ডিসপ্যাচার সাবপ্রসেসের মাধ্যমে স্ক্রিপ্ট চালানোর সময় সহ প্রতীকী লিঙ্কগুলি পরীক্ষা করেনি। পপেন কল, যা আক্রমণের সংগঠনকে উল্লেখযোগ্যভাবে সরল করেছে।

অপারেটিং কৌশল:

• একটি ডিরেক্টরি "/tmp/nimbuspwn" এবং একটি সাংকেতিক লিঙ্ক "/tmp/nimbuspwn/poc.d" তৈরি করা হয় যা "/sbin" ডিরেক্টরির দিকে নির্দেশ করে, যা রুটের মালিকানাধীন এক্সিকিউটেবল ফাইলগুলি পরীক্ষা করতে ব্যবহৃত হয়।
• "/sbin" থেকে এক্সিকিউটেবল ফাইলগুলির জন্য, একই নামের ফাইলগুলি "/tmp/nimbuspwn" ডিরেক্টরিতে তৈরি করা হয়, উদাহরণস্বরূপ, "/sbin/vgs" ফাইলের জন্য একটি এক্সিকিউটেবল ফাইল "/tmp/nimbuspwn/vgs" তৈরি করা হয়েছে, একটি সুবিধাবিহীন ব্যবহারকারীর মালিকানাধীন, যেখানে আক্রমণকারী যে কোডটি চালাতে চায় সেটি স্থাপন করা হয়।
• অপারেশনাল স্টেটে "../../../tmp/nimbuspwn/poc" মান নির্দেশ করে নেটওয়ার্কডি-ডিসপ্যাচার প্রক্রিয়াতে D-Bus এর মাধ্যমে একটি সংকেত পাঠানো হয়। নামস্থান “org.freedesktop.network1”-এ একটি সংকেত পাঠাতে, এর হ্যান্ডলারদের systemd-networkd-এর সাথে সংযোগ করার ক্ষমতা ব্যবহার করা হয়েছিল, উদাহরণস্বরূপ, gpgv বা epmd-এর সাথে ম্যানিপুলেশনের মাধ্যমে, অথবা আপনি এই সত্যটির সুবিধা নিতে পারেন যে systemd-networkd ডিফল্টরূপে চলছে না (উদাহরণস্বরূপ, লিনাক্স মিন্টে)।
• সংকেত প্রাপ্তির পরে, নেটওয়ার্কডি-ডিসপ্যাচার রুট ব্যবহারকারীর মালিকানাধীন এক্সিকিউটেবল ফাইলগুলির একটি তালিকা তৈরি করে এবং "/etc/networkd-dispatcher/../../../tmp/nimbuspwn/poc.d" ডিরেক্টরিতে উপলব্ধ। যা আসলে "/sbin" এর সাথে লিঙ্ক করে।
• এই মুহুর্তে যখন ফাইলগুলির তালিকা পাওয়া যায়, কিন্তু স্ক্রিপ্টটি এখনও চালু করা হয়নি, তখন প্রতীকী লিঙ্কটি "/tmp/nimbuspwn/poc.d" থেকে "/tmp/nimbuspwn" এ পুনঃনির্দেশিত হয় এবং নেটওয়ার্কডি-ডিসপ্যাচার চালু করবে রুট অধিকার সহ আক্রমণকারী দ্বারা হোস্ট করা স্ক্রিপ্ট।

উত্স: opennet.ru