Sicherheitsanfälligkeiten in swhkd, einem Hotkey-Manager für Wayland.

Im swhkd (Simple Wayland HotKey Daemon) wurde eine Reihe von Sicherheitsanfälligkeiten entdeckt, die durch den fehlerhaften Umgang mit temporären Dateien, Befehlszeilenparametern und Unix-Sockets verursacht werden. Das Programm ist in Rust geschrieben und verarbeitet Tastenkombinationen in Umgebungen, die auf dem Wayland-Protokoll basieren (es handelt sich um einen konfigurationskompatiblen Analogprozess zum sxhkd, der in X11-basierten Umgebungen verwendet wird).

Das Paket enthält den nicht privilegierten Prozess swhks, der Aktionen für die Hotkeys ausführt, sowie den Hintergrundprozess swhkd, der mit Root-Rechten läuft und über die API uinput mit Eingabegeräten interagiert. Zur Organisation der Kommunikation zwischen swhks und swhkd wird ein Unix-Socket verwendet. Durch Polkit-Regeln kann jedem lokalen Benutzer die Ausführung des Prozesses /usr/bin/swhkd mit Root-Rechten und die Übergabe beliebiger Parameter an ihn ermöglicht werden.

Identifizierte Schwachstellen:

• CVE-2022-27815 — Speicherung der PID eines Prozesses in eine Datei mit vorhersehbarem Namen in einem für andere Benutzer schreibbaren Verzeichnis (/tmp/swhkd.pid). Jeder Benutzer kann die Datei /tmp/swhkd.pid erstellen und die PID eines bestehenden Prozesses darin ablegen, was dazu führt, dass swhkd nicht gestartet werden kann. Bei fehlendem Schutz gegen symbolische Links in /tmp kann die Schwachstelle genutzt werden, um Dateien in jedem Systemverzeichnis zu erstellen oder zu überschreiben (die PID wird in die Datei geschrieben) oder den Inhalt beliebiger Dateien im System zu bestimmen (swhkd gibt den gesamten Inhalt der PID-Datei an stdout aus). Bemerkenswert ist, dass im veröffentlichten Patch die PID-Datei nicht in das Verzeichnis /run verschoben wurde, sondern in das Verzeichnis /etc (/etc/swhkd/runtime/swhkd_{uid}.pid), wo sie ebenfalls nicht hingehört.
• CVE-2022-27814 — Durch Manipulation des Befehlszeilenparameters „-c“, der zur Angabe der Konfigurationsdatei verwendet wird, kann die Existenz beliebiger Dateien im System festgestellt werden. Zum Beispiel kann zur Überprüfung von /root/.somefile der Befehl „pkexec /usr/bin/swhkd -d -c /root/.somefile“ ausgeführt werden. Wenn die Datei nicht vorhanden ist, wird die Fehlermeldung „/root/.somefile gibt es nicht“ ausgegeben. Wie im Falle der ersten Schwachstelle bleibt die Lösung der Problematik unklar – die Behebung des Fehlers erfolgt dadurch, dass nun ein externes Dienstprogramm „cat“ zur Lesung der Konfigurationsdatei gestartet wird (‘Command::new(„/bin/cat“).arg(path).output()’).
• CVE-2022-27819 — Das Problem ist ebenfalls mit der Verwendung der Option „-c“ verbunden, über die die Konfigurationsdatei vollständig geladen und ohne Größen- und Typüberprüfung analysiert wird. Zum Beispiel kann beim Aufruf eines Denial-of-Service-Angriffs durch Erschöpfung des freien Speichers und Erzeugung von parasitärem Input/Output ein Blockgerät angegeben werden (z. B. „pkexec /usr/bin/swhkd -d -c /dev/sda“) oder ein Zeichengerät, das einen endlosen Datenstrom ausgibt. Das Problem wurde durch das Zurücksetzen der Berechtigungen vor dem Öffnen der Datei behoben, jedoch war die Lösung nicht vollständig, da nur die Benutzer-ID (UID) zurückgesetzt wird, während die Gruppen-ID (GID) unverändert bleibt.
• CVE-2022-27818 — Für die Erstellung des Unix-Sockets wird die Datei /tmp/swhkd.sock verwendet, die in einem öffentlich beschreibbaren Verzeichnis erstellt wird, was zu ähnlichen Problemen wie bei der ersten Schwachstelle führt (jeder Benutzer kann /tmp/swhkd.sock erstellen und Tasteneingaben generieren oder abfangen).
• CVE-2022-27817 — Eingaben werden von allen Geräten und in allen Sitzungen akzeptiert, d. h. ein Benutzer aus einer anderen Wayland-Sitzung oder von der Konsole kann Ereignisse abfangen, wenn andere Benutzer Hotkeys drücken.
• CVE-2022-27816 — Der Prozess swhks verwendet, ähnlich wie swhkd, eine PID-Datei /tmp/swhks.pid in einem allgemein beschreibbaren Verzeichnis /tmp. Das Problem ist ähnlich wie bei der ersten Schwachstelle, ist jedoch nicht so gravierend, da swhks unter einem nicht privilegierten Benutzer ausgeführt wird.

Quelle: opennet.ru