Zranitelnost v sudo, která umožňuje zvýšit privilegium pomocí specifických pravidel

V nástroji Sudo, používané k organizaci provádění příkazů jménem jiných uživatelů, byla odhalena zranitelnost (CVE-2019-14287), která umožňuje provádění příkazů s právy roota, pokud jsou v nastavení sudoers pravidla, v nichž sekce ověřování identifikátoru uživatele po povolujícím klíčovém slově „ALL“ obsahuje výslovný zákaz spuštění s právy roota („… (ALL, !root) …“). V konfiguracích ve výchozím nastavení ve distribucích se zranitelnost neprojevuje.

Pokud jsou v sudoers povolené, ale velmi zřídka se vyskytující pravidla, která umožňují vykonání určitého příkazu pod UID identifikátorem libovolného uživatele s výjimkou roota, útočník, který má oprávnění vykonávat tento příkaz, může obejít nastavené omezení a vykonat příkaz s právy roota. Pro obejití omezení stačí pokusit se vykonat uvedený v nastaveních příkaz s UID „-1“ nebo „4294967295“, což povede k jeho vykonání s UID 0.

Například pokud v nastavení existuje pravidlo, které povoluje libovolnému uživateli vykonání programu /usr/bin/id pod libovolným UID:

myhost ALL = (ALL, !root) /usr/bin/id

nebo varianta, která povoluje vykonání pouze konkrétnímu uživateli bob:

myhost bob = (ALL, !root) /usr/bin/id

Uživatel může vykonat „sudo -u ‘#-1’ id“ a utilita /usr/bin/id bude spuštěna s právy roota, přestože je v nastavení výslovně zakázáno. Problém je způsoben opomenutím speciálních hodnot „-1“ nebo „4294967295“, které nevedou ke změně UID, ale protože sudo již běží pod root, tak bez změny UID je také cílový příkaz spuštěn s právy roota.

V distribucích SUSE a openSUSE bez uvedení v pravidle „NOPASSWD“ je zranitelnost nevyužitelná, protože v sudoers je ve výchozím nastavení zapnuta funkce „Defaults targetpw“, při které se provádí kontrola UID podle databáze hesel s výzvou k zadání hesla cílového uživatele. Pro takové systémy může být útok proveden pouze za přítomnosti pravidel typu:

myhost ALL = (ALL, !root) NOPASSWD: /usr/bin/id

Problém byl vyřešen ve verzi Sudo 1.8.28. Oprava je také dostupná ve formě patche. V distribucích je zranitelnost již odstraněna v Debian, Arch Linux, SUSE/openSUSE, Ubuntu, Gentoo a FreeBSD. K datu napsání zprávy problém zůstává neopravitelný v RHEL a Fedora. Zranitelnost byla objevena bezpečnostními výzkumníky z firmy Apple.

Zdroj: opennet.ru