Sårbarhed i systemd-coredump, der gør det muligt at bestemme indholdet af hukommelsen i suid-programmer.

I komponenten systemd-coredump, der håndterer core-filer genereret efter ukontrollerede procesafslutninger, er der opdaget en sårbarhed (CVE-2022-4415), som gør det muligt for en uprivilegeret lokal bruger at bestemme indholdet af hukommelsen fra privilegerede processer, der kører med suid root-flaget. Problemet med standardkonfigurationen er bekræftet i distributionerne openSUSE, Arch, Debian, Fedora og SLES.

Sårbarheden skyldes manglende korrekt håndtering af sysctl-parameteren fs.suid_dumpable i systemd-coredump, som ved standardindstillingen 2 tillader generering af core-dumps for processer med suid-flaget. Det antages, at de kerne-genererede core-filer fra suid-processer skal have adgangsrettigheder, der tillader læsning kun for brugeren root. Værktøjet systemd-coredump, som kaldes af kernen for at gemme core-filer, gemmer core-filen under root-ID'et, men giver desuden adgang til core-filerne baseret på ACL, hvilket tillader læsning baseret på ejer-ID'et, der oprindeligt startede processen.

Den nævnte egenskab muliggør indlæsning af core-filer uden hensyn til, at programmet kan skifte bruger-ID og køre med forhøjede privilegier. Angrebet går ud på, at brugeren kan starte et suid-program og sende det signalet SIGSEGV, hvorefter de kan indlæse indholdet af core-filen, som inkluderer et snapshot af hukommelsen fra processen under den ukontrollerede afslutning.

For eksempel kan brugeren starte ‘/usr/bin/su’ og i en anden terminal afslutte det med kommandoen ‘kill -s SIGSEGV `pidof su`’, hvorefter systemd-coredump gemmer core-filen i kataloget /var/lib/systemd/coredump og angiver en ACL, der tillader læsning for den aktuelle bruger. Da suid-værktøjet ‘su’ læser indholdet af /etc/shadow ind i hukommelsen, kan angriberen få adgang til hashoplysningerne for alle brugeres adgangskoder i systemet. Værktøjet sudo er ikke sårbart over for angrebet, da det forhindrer genereringen af core-filer via ulimit.

Ifølge udviklerne af systemd opstår sårbarheden fra version 247 (november 2020), men ifølge forskeren, der opdagede problemet, er version 246 også sårbar. Sårbarheden opstår, hvis systemd er bygget med libacl-biblioteket (som standard i alle populære distributioner). En rettelse er endnu tilgængelig i form af et patch. Du kan følge op på rettelserne i distributioner på følgende sider: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Gentoo, Arch. Som en midlertidig løsning kan du sætte sysctl fs.suid_dumpable til 0 for at deaktivere overførsel af dumps til systemd-coredump behandleren.

Kilde: opennet.ru