{"id":103374,"date":"2022-02-18T03:37:22","date_gmt":"2022-02-18T01:37:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap"},"modified":"2022-02-18T03:37:22","modified_gmt":"2022-02-18T01:37:22","slug":"lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","title":{"rendered":"Lokale Root-Sicherheitsanf\u00e4lligkeiten in den Paketverwaltungstools von Snap","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen Qualys hat zwei Schwachstellen (CVE-2021-44731, CVE-2021-44730) in dem mit dem SUID root-Flag ausgelieferten Dienstprogramm snap-confine festgestellt, das von dem Prozess snapd aufgerufen wird, um die Ausf\u00fchrungsumgebung f\u00fcr in eigenst\u00e4ndigen Snap-Paketen bereitgestellte Anwendungen zu erstellen. Die Schwachstellen erm\u00f6glichen es einem lokalen nicht privilegierten Benutzer, Code mit Root-Rechten im System auszuf\u00fchren. Die Probleme wurden in der heutigen Aktualisierung des snapd-Pakets f\u00fcr Ubuntu 21.10, 20.04 und 18.04 behoben. <\/p>\n
Die erste Schwachstelle (CVE-2021-44730) erm\u00f6glicht einen Angriff durch Manipulation hart verlinkter Dateien, erfordert jedoch, dass der systemweite Schutz f\u00fcr harte Links ausgeschaltet ist (die Einstellung von sysctl fs.protected_hardlinks auf 0). Das Problem wird durch eine fehlerhafte \u00dcberpr\u00fcfung des Speicherorts der ausf\u00fchrbaren Dateien der Hilfsprogramme snap-update-ns und snap-discard-ns verursacht, die mit Root-Rechten ausf\u00fchren. Der Pfad zu diesen Dateien wird in der Funktion sc_open_snapd_tool() auf Grundlage des eigenen Pfades aus \/proc\/self\/exe berechnet, was es erm\u00f6glicht, einen harten Link zu snap-confine im eigenen Verzeichnis zu erstellen und dort eigene Versionen der Tools snap-update-ns und snap-discard-ns abzulegen. Nach dem Start \u00fcber den harten Link wird snap-confine mit Root-Rechten die Dateien snap-update-ns und snap-discard-ns, die der Angreifer bereitgestellt hat, aus dem aktuellen Verzeichnis ausf\u00fchren. <\/p>\n
Die zweite Schwachstelle entsteht durch einen Race Condition und kann in der Standardkonfiguration von Ubuntu Desktop ausgenutzt werden. F\u00fcr eine erfolgreiche Ausnutzung unter Ubuntu Server ist es erforderlich, w\u00e4hrend der Installation eines der Pakete aus dem Abschnitt \u201eFeatured Server Snaps\u201c auszuw\u00e4hlen. Der Race Condition tritt in der Funktion setup_private_mount() auf, die w\u00e4hrend der Vorbereitung des Namensraums f\u00fcr die Einh\u00e4ngepunkte des Snap-Pakets aufgerufen wird. Diese Funktion erstellt ein tempor\u00e4res Verzeichnis \u201e\/tmp\/snap.$SNAP_NAME\/tmp\u201c oder verwendet ein bereits vorhandenes, um die Verzeichnisse f\u00fcr das Snap-Paket zu bind-mounten. <\/p>\n
Da der Name des tempor\u00e4ren Verzeichnisses vorhersehbar ist, kann ein Angreifer dessen Inhalt durch einen symbolischen Link ersetzen, nachdem der Eigent\u00fcmer \u00fcberpr\u00fcft wurde, aber bevor der Systemaufruf mount erfolgt. Beispielsweise kann im Verzeichnis \/tmp\/snap.lxd ein symbolischer Link \u201e\/tmp\/snap.lxd\/tmp\u201c erstellt werden, der auf ein beliebiges Verzeichnis verweist, sodass der Aufruf von mount() dem symbolischen Link folgt und das Verzeichnis im Snap-Namensraum einh\u00e4ngt. Auf diese Weise kann der Angreifer seinen Inhalt in \/var\/lib einh\u00e4ngen und \u00fcber die Ersetzung von \/var\/lib\/snapd\/mount\/snap.snap-store.user-fstab das Einh\u00e4ngen seines Verzeichnisses \/etc im Snap-Paketnamenraum organisieren, um seine Bibliothek mit Root-Rechten \u00fcber die Ersetzung von \/etc\/ld.so.preload zu laden. <\/p>\n
Es wird festgestellt, dass die Erstellung eines Exploits eine nicht triviale Aufgabe war, da das Tool snap-confine in der Programmiersprache Go unter Verwendung sicherer Programmiertechniken geschrieben wurde, einen Schutz auf Basis von AppArmor-Profilen hat, Systemaufrufe \u00fcber den seccomp-Mechanismus filtert und zur Isolierung einen Namensraum f\u00fcr das Einh\u00e4ngen verwendet. Dennoch gelang es den Forschern, einen funktionierenden Exploit zur Erlangung von Root-Rechten im System vorzubereiten. Der Code des Exploits wird in einigen Wochen ver\u00f6ffentlicht, nachdem die Benutzer die bereitgestellten Updates installiert haben. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"