Kritische Sicherheitsanfälligkeit in PolKit, die Root-Zugriff in den meisten Linux-Distributionen ermöglicht.

Das Unternehmen Qualys hat eine Sicherheitsanfälligkeit (CVE-2021-4034) im Systemkomponenten Polkit (ehemals PolicyKit) entdeckt, die in Distributionen verwendet wird, um unprivilegierten Benutzern die Ausführung von Aktionen, die erhöhte Berechtigungen erfordern, zu ermöglichen. Die Sicherheitsanfälligkeit ermöglicht es einem unprivilegierten lokalen Benutzer, seine Berechtigungen bis zum Root-Benutzer zu erhöhen und somit die vollständige Kontrolle über das System zu erlangen. Das Problem trägt den Codenamen PwnKit und ist bemerkenswert, da ein funktionierender Exploit bereitgestellt wurde, der in der Standardkonfiguration der meisten Linux-Distributionen funktioniert.

Das Problem betrifft das PolKit-Utility pkexec, das mit dem SUID root-Flag geliefert wird und zum Ausführen von Befehlen mit den Berechtigungen eines anderen Benutzers gemäß den festgelegten PolKit-Regeln vorgesehen ist. Aufgrund einer fehlerhaften Verarbeitung der übergebenen Befehlszeilenargumente konnte ein nicht privilegierter Benutzer die Authentifizierung umgehen und seinen Code mit root-Rechten ausführen, unabhängig von den festgelegten Zugriffsbeschränkungen. Für den Angriff sind die Einstellungen und Einschränkungen in PolKit unerheblich, es genügt, dass die ausführbare Datei des pkexec-Utilities das SUID root-Flag gesetzt hat.

Pkexec überprüft nicht die Korrektheit des Zählers der Befehlszeilenargumente (argc), die beim Starten eines Prozesses übergeben werden. Die Entwickler von pkexec gingen davon aus, dass der erste Eintrag des argv-Arrays immer den Namen des Prozesses (pkexec) enthält, während der zweite entweder NULL oder den Namen des über pkexec auszuführenden Befehls enthält. Da der Zähler der Argumente nicht auf die tatsächlichen Inhalte des Arrays überprüft wurde und davon ausgegangen wurde, dass er immer größer als 1 ist, führte das Übergeben eines leeren argv-Arrays an den Prozess, was die Funktion execve in Linux zulässt, dazu, dass pkexec NULL als erstes Argument (Prozessname) und den darauf folgenden Speicher außerhalb des Puffers als weitere Inhalte des Arrays interpretiert. |———+———+——+————|———+———+——+————| | argv[0] | argv[1] | … | argv[argc] | envp[0] | envp[1] | … | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| V V V V V V «program» «-option» NULL «value» «PATH=name» NULL

Das Problem ist, dass direkt nach dem argv-Array im Speicher ein envp-Array folgt, das Umgebungsvariablen enthält. Somit extrahiert pkexec bei einem leeren argv-Array die Informationen über den Befehl mit erhöhten Berechtigungen aus dem ersten Element des Umgebungsvariablen-Arrays (argv[1] wird identisch zu envp[0]), dessen Inhalt von einem Angreifer kontrolliert werden kann.

Nachdem pkexec den Wert von argv[1] erhalten hat, versucht es, unter Berücksichtigung der Dateipfade im PATH den vollständigen Pfad zur ausführbaren Datei zu bestimmen und den entsprechenden Zeiger auf die vollständige Pfadzeichenfolge zurück in argv[1] zu schreiben, was dazu führt, dass der Wert der ersten Umgebungsvariablen überschrieben wird, da argv[1] identisch mit envp[0] ist. Durch Manipulation des Namens der ersten Umgebungsvariablen kann ein Angreifer eine andere Umgebungsvariable in pkexec einschleusen, beispielsweise die Umgebungsvariable „LD_PRELOAD“, die in suid-Programmen nicht erlaubt ist, und so das Laden seiner eigenen Shared Library in den Prozess organisieren.

Im Arbeits-Exploit wird die Variable GCONV_PATH gesetzt, die verwendet wird, um den Pfad zur Zeichenkodierungsbibliothek zu bestimmen, die dynamisch beim Aufruf der Funktion g_printerr() geladen wird, in deren Code iconv_open() verwendet wird. Indem der Pfad in GCONV_PATH überschrieben wird, kann ein Angreifer bewirken, dass nicht die standardmäßige iconv-Bibliothek, sondern seine eigene Bibliothek geladen wird, deren Handler während der Ausgabe einer Fehlermeldung ausgeführt werden, während pkexec noch mit Root-Rechten läuft und bevor die Berechtigungen geprüft werden.

Es wird berichtet, dass das Problem trotz eines Speicherschadens zuverlässig und reproduzierbar unabhängig von der verwendeten Hardwarearchitektur betrieben werden kann. Der vorbereitete Exploit wurde erfolgreich unter Ubuntu, Debian, Fedora und CentOS getestet, kann jedoch auch in anderen Distributionen verwendet werden. Der originale Exploit ist derzeit nicht öffentlich verfügbar, was darauf hindeutet, dass er trivial ist und von anderen Forschern leicht reproduziert werden kann. Deshalb ist es wichtig, dass auf Mehrbenutzersystemen so schnell wie möglich ein Update mit einem Patch installiert wird. Polkit ist auch für BSD-Systeme und Solaris verfügbar, jedoch wurde die Möglichkeit einer Ausnutzung in diesen Systemen nicht untersucht. Bekannt ist nur, dass ein Angriff in OpenBSD nicht durchgeführt werden kann, da der OpenBSD-Kernel die Übertragung eines null-Wertes für argc bei einem execve()-Aufruf nicht zulässt.

Das Problem besteht seit Mai 2009, seit der Einführung des pkexec-Befehls. Der Fix für die PolKit-Schwachstelle ist derzeit als Patch verfügbar (ein reguläres Release wurde nicht erstellt). Da die Entwickler der Distributionen vorab über das Problem informiert wurden, haben die meisten Distributionen ein Update gleichzeitig mit der Offenlegung der Schwachstelle veröffentlicht. Das Problem wurde in RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux und Manjaro behoben. Als vorübergehende Maßnahme zur Blockierung der Schwachstelle kann das SUID-Root-Flag von dem Programm /usr/bin/pkexec entfernt werden ("chmod 0755 /usr/bin/pkexec").

Quelle: opennet.ru