{"id":103374,"date":"2022-02-18T03:37:22","date_gmt":"2022-02-18T01:37:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap"},"modified":"2022-02-18T03:37:22","modified_gmt":"2022-02-18T01:37:22","slug":"lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","title":{"rendered":"Lokale Root-Schwachstellen im Paketverwaltungstool Snap","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen Qualys hat zwei Sicherheitsanf\u00e4lligkeiten (CVE-2021-44731, CVE-2021-44730) in dem mit dem SUID-Root-Flag ausgelieferten Tool snap-confine festgestellt, das von dem Prozess snapd aufgerufen wird, um eine Ausf\u00fchrungsumgebung f\u00fcr Anwendungen bereitzustellen, die in selbst\u00e4ndigen Paketen im Snap-Format geliefert werden. Diese Sicherheitsanf\u00e4lligkeiten erm\u00f6glichen es einem lokalen nicht privilegierten Benutzer, Code mit Root-Rechten im System auszuf\u00fchren. Die Probleme wurden mit dem heutigen Update der snapd-Pakete f\u00fcr Ubuntu 21.10, 20.04 und 18.04 behoben. <\/p>\n
Die erste Schwachstelle (CVE-2021-44730) erm\u00f6glicht einen Angriff durch Manipulation von harten Links, erfordert jedoch die Deaktivierung des Systemschutzes f\u00fcr harte Links (Einstellung von sysctl fs.protected_hardlinks auf 0). Das Problem wird durch eine fehlerhafte \u00dcberpr\u00fcfung des Standorts ausf\u00fchrbarer Dateien der Hilfsprogramme snap-update-ns und snap-discard-ns verursacht, die mit Root-Rechten ausgef\u00fchrt werden. Der Pfad zu diesen Dateien wurde in der Funktion sc_open_snapd_tool() basierend auf dem eigenen Pfad aus \/proc\/self\/exe berechnet, was es erm\u00f6glicht, einen harten Link zu snap-confine in einem eigenen Verzeichnis zu erstellen und in diesem Verzeichnis eigene Varianten der Programme snap-update-ns und snap-discard-ns abzulegen. Nach dem Start \u00fcber den harten Link wird snap-confine mit Root-Rechten die Dateien snap-update-ns und snap-discard-ns aus dem aktuellen Verzeichnis ausf\u00fchren, die vom Angreifer bereitgestellt wurden. <\/p>\n
Die zweite Schwachstelle wird durch einen Race Condition verursacht und kann in der Standardkonfiguration von Ubuntu Desktop ausgenutzt werden. Damit der Exploit unter Ubuntu Server erfolgreich funktioniert, muss w\u00e4hrend der Installation eines der Pakete aus der Kategorie 'Featured Server Snaps' ausgew\u00e4hlt werden. Die Race Condition tritt in der Funktion setup_private_mount() auf, die w\u00e4hrend der Vorbereitung des Namensraums f\u00fcr die Einh\u00e4ngepunkte des Snap-Pakets aufgerufen wird. Diese Funktion erstellt ein tempor\u00e4res Verzeichnis '\/tmp\/snap.$SNAP_NAME\/tmp' oder verwendet ein bereits vorhandenes Verzeichnis f\u00fcr das Binden von Snap-Paketverzeichnissen. <\/p>\n
Da der Name des tempor\u00e4ren Verzeichnisses vorhersehbar ist, kann ein Angreifer dessen Inhalt nach der \u00dcberpr\u00fcfung des Eigent\u00fcmers, aber vor dem Systemaufruf mount durch eine symbolische Verkn\u00fcpfung ersetzen. Beispielsweise k\u00f6nnte im Verzeichnis \/tmp\/snap.lxd eine symbolische Verkn\u00fcpfung \u201e\/tmp\/snap.lxd\/tmp\u201c erstellt werden, die auf ein beliebiges Verzeichnis verweist, und der Aufruf von mount() folgt der symbolischen Verkn\u00fcpfung und montiert das Verzeichnis im Snap-Namespace. Ebenso l\u00e4sst sich durch Ersetzen von \/var\/lib\/snapd\/mount\/snap.snap-store.user-fstab der eigene Inhalt im Verzeichnis \/var\/lib mounten, um das Verzeichnis \/etc im Namespace des Snap-Pakets zu organisieren, sodass die eigene Bibliothek mit Root-Rechten durch Ersetzen von \/etc\/ld.so.preload geladen wird. <\/p>\n
Es wurde festgestellt, dass die Erstellung eines Exploits eine komplexe Aufgabe darstellt, da das Tool snap-confine in der Programmiersprache Go unter Ber\u00fccksichtigung sicherer Programmiertechniken geschrieben wurde. Es verf\u00fcgt \u00fcber einen Schutz auf Basis von AppArmor-Profilen, filtert Systemaufrufe mit dem Seccomp-Mechanismus und nutzt Namensr\u00e4ume zur Isolation bei der Montage. Dennoch gelang es den Forschern, einen funktionierenden Exploit zur Erlangung von Root-Rechten im System vorzubereiten. Der Code des Exploits wird in einigen Wochen ver\u00f6ffentlicht, nachdem die Nutzer die bereitgestellten Updates installiert haben. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"