Schwachstellen in swhkd, einem Hotkey-Manager für Wayland

Im swhkd (Simple Wayland HotKey Daemon) wurden eine Reihe von Sicherheitsanfälligkeiten entdeckt, die durch fehlerhafte Verarbeitung von temporären Dateien, Kommandozeilenparametern und Unix-Sockets verursacht werden. Das Programm ist in Rust geschrieben und verarbeitet Tastenkombinationen in Umgebungen, die auf dem Wayland-Protokoll basieren (kompatibel auf Ebene der Konfigurationsdateien mit dem Prozess sxhkd, der in Umgebungen auf Basis von X11 verwendet wird).

Das Paket umfasst den nicht privilegierten Prozess swhks, der Aktionen für die Tastenkombinationen ausführt, sowie den Hintergrundprozess swhkd, der mit Root-Rechten ausgeführt wird und mit Eingabegeräten auf API-uinput-Ebene interagiert. Für die Interaktion zwischen swhks und swhkd wird ein Unix-Socket verwendet. Mit Hilfe von Polkit-Regeln hat jeder lokale Benutzer die Möglichkeit, den Prozess /usr/bin/swhkd mit Root-Rechten zu starten und ihm beliebige Parameter zu übergeben.

Festgestellte Schwachstellen:

• CVE-2022-27815 — Speicherung der Prozess-PID in einer Datei mit einem vorhersehbaren Namen und in einem von anderen Benutzern beschreibbaren Verzeichnis (/tmp/swhkd.pid). Jeder Benutzer kann die Datei /tmp/swhkd.pid erstellen und die PID eines bestehenden Prozesses darin ablegen, was dazu führt, dass swhkd nicht gestartet werden kann. Bei fehlendem Schutz gegen das Erstellen symbolischer Links in /tmp kann die Schwachstelle genutzt werden, um Dateien in jedem Systemverzeichnis zu erstellen oder zu überschreiben (die PID wird in die Datei geschrieben) oder den Inhalt jeder Datei im System zu bestimmen (swhkd gibt den gesamten Inhalt der PID-Datei in stdout aus). Bemerkenswert ist, dass in dem veröffentlichten Patch die PID-Datei nicht in das Verzeichnis /run, sondern in das Verzeichnis /etc (/etc/swhkd/runtime/swhkd_{uid}.pid) verschoben wurde, wo sie ebenfalls nicht hingehört.
• CVE-2022-27814 — Durch Manipulation des Befehlszeilenparameters „-c“, der zur Angabe der Konfigurationsdatei verwendet wird, kann das Vorhandensein jeder Datei im System festgestellt werden. Zum Beispiel, um /root/.somefile zu überprüfen, kann „pkexec /usr/bin/swhkd -d -c /root/.somefile“ ausgeführt werden, und wenn die Datei nicht vorhanden ist, wird die Fehlermeldung „/root/.somefile doesn’t exist“ ausgegeben. Wie bei der ersten Schwachstelle ist auch die Behebung des Problems unverständlich — die Problemlösung besteht darin, dass zum Lesen der Konfigurationsdatei jetzt das externe Dienstprogramm „cat“ aufgerufen wird (‘Command::new(„/bin/cat“).arg(path).output()’).
• CVE-2022-27819 — Das Problem hängt ebenfalls mit der Verwendung der Option „-c“ zusammen, über die die Konfigurationsdatei vollständig geladen und ohne Überprüfung der Größe und des Dateityps analysiert wird. Zum Beispiel kann zur Auslösung eines Denial-of-Service durch Erschöpfung des freien Speichers und Erstellung parasitärer Ein-/Ausgaben beim Start ein Blockgerät angegeben werden („pkexec /usr/bin/swhkd -d -c /dev/sda“) oder ein Zeichengerät, das einen endlosen Datenstrom ausgibt. Das Problem wurde durch das Zurücksetzen der Berechtigungen vor dem Öffnen der Datei behoben, aber das Patchen war unvollständig, da nur die Benutzer-ID (UID) zurückgesetzt wird, die Gruppen-ID (GID) jedoch unverändert bleibt.
• CVE-2022-27818 — Zur Erstellung eines Unix-Sockets wird die Datei /tmp/swhkd.sock verwendet, die in einem öffentlich beschreibbaren Verzeichnis erstellt wird, was zu ähnlichen Problemen wie die erste Schwachstelle führt (jeder Benutzer kann /tmp/swhkd.sock erstellen und Ereignisse von Tasteneingaben generieren oder abfangen).
• CVE-2022-27817 — Eingaben werden von allen Geräten und in allen Sitzungen akzeptiert, d. h. ein Benutzer aus einer anderen Wayland-Sitzung oder von der Konsole kann die Eingaben abfangen, wenn andere Benutzer die Tastenkombinationen drücken.
• CVE-2022-27816 — Der Prozess swhks verwendet, wie swhkd, eine PID-Datei /tmp/swhks.pid in einem für Schreibzugriffe öffentlichen Verzeichnis /tmp. Das Problem ähnelt der ersten Schwachstelle, ist jedoch weniger gefährlich, da swhks unter einem unprivilegierten Benutzer ausgeführt wird.

Quelle: opennet.ru