{"id":103374,"date":"2022-02-18T03:37:22","date_gmt":"2022-02-18T01:37:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap"},"modified":"2022-02-18T03:37:22","modified_gmt":"2022-02-18T01:37:22","slug":"lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","title":{"rendered":"Lokale root-s\u00e5rbarheder i Snap-pakkeh\u00e5ndteringsv\u00e6rkt\u00f8jet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Qualys har identificeret to s\u00e5rbarheder (CVE-2021-44731, CVE-2021-44730) i snap-confine-v\u00e6rkt\u00f8jet, som leveres med SUID root-flaget og kaldes af snapd-processen for at oprette et udf\u00f8relsesmilj\u00f8 for applikationer i selvst\u00e6ndige pakker i snap-format. S\u00e5rbarhederne g\u00f8r det muligt for en lokal ikke-privilegeret bruger at udf\u00f8re kode med root-rettigheder i systemet. Problemerne er blevet l\u00f8st i dagens opdatering af snapd-pakkerne for Ubuntu 21.10, 20.04 og 18.04. <\/p>\n
Den f\u00f8rste s\u00e5rbarhed (CVE-2021-44730) muligg\u00f8r et angreb gennem manipulation af h\u00e5rde links, men kr\u00e6ver, at systembeskyttelsen for h\u00e5rde links er deaktiveret (s\u00e6tte sysctl fs.protected_hardlinks til 0). Problemet skyldes en utilstr\u00e6kkelig kontrol af placeringen af de eksekverbare filer fra v\u00e6rkt\u00f8jerne snap-update-ns og snap-discard-ns, som k\u00f8res med root-rettigheder. Stien til disse filer blev beregnet i funktionen sc_open_snapd_tool() baseret p\u00e5 sin egen sti fra \/proc\/self\/exe, hvilket muligg\u00f8r oprettelse af et h\u00e5rdt link til snap-confine i sin egen mappe og placering af sine egne versioner af v\u00e6rkt\u00f8jerne snap-update-ns og snap-discard-ns i denne mappe. N\u00e5r snap-confine startes via det h\u00e5rde link med root-rettigheder, vil det udf\u00f8re de filer, som angriberen har indsat fra den aktuelle mappe. <\/p>\n
Den anden s\u00e5rbarhed skyldes et konkurrenceforhold og kan udnyttes i standardkonfigurationen af Ubuntu Desktop. For at udnyttelsen skal lykkes p\u00e5 Ubuntu Server, kr\u00e6ves det, at man under installationen v\u00e6lger et af pakkerne i sektionen «Featured Server Snaps». Konkurrenceforholdet opst\u00e5r i funktionen setup_private_mount(), som kaldes under forberedelsen af det namespaces mount-punkter for snap-pakken. Denne funktion opretter et midlertidigt katalog «\\\/tmp\\\/snap.$SNAP_NAME\\\/tmp» eller bruger et eksisterende til bind-emontering af kataloger til pakken i snap-format. <\/p>\n
Da navnet p\u00e5 det midlertidige katalog er forudsigeligt, kan en angriber erstatte indholdet med et symbolsk link efter ejerkontrollen, men f\u00f8r kaldet til systemopkaldet mount. For eksempel kan man oprette et symbolsk link «\\\/tmp\\\/snap.lxd\\\/tmp» i kataloget \\\/tmp\\\/snap.lxd, som peger p\u00e5 et vilk\u00e5rligt katalog, og kaldet mount() vil f\u00f8lge det symbolske link og montere kataloget i snap-namespace. P\u00e5 denne m\u00e5de kan man montere sit eget indhold i \\\/var\\\/lib, og ved at erstatte \\\/var\\\/lib\\\/snapd\\\/mount\\\/snap.snap-store.user-fstab kan man arrangere montering af sit katalog \\\/etc i snap-pakkens namespace for at kunne indl\u00e6se sit bibliotek med root-rettigheder ved at erstatte \\\/etc\\\/ld.so.preload. <\/p>\n
Det bem\u00e6rkes, at det at skabe et exploit viste sig at v\u00e6re en noget vanskelig opgave, da v\u00e6rkt\u00f8jet snap-confine er skrevet i Go med brug af sikre programmeringsmetoder, har beskyttelse baseret p\u00e5 AppArmor-profiler, filtrerer systemopkald ved hj\u00e6lp af seccomp-mekanismer og anvender navnerum til montering for isolation. Alligevel har forskerne form\u00e5et at forberede et fungerende exploit til at opn\u00e5 root-rettigheder i systemet. Koden til exploit vil blive offentliggjort om et par uger, efter at brugerne har installeret de p\u00e5g\u00e6ldende opdateringer. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"