{"id":103807,"date":"2022-04-17T21:36:41","date_gmt":"2022-04-17T19:36:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-swhkd-menedzhere-goryachih-klavish-dlya-wayland"},"modified":"2022-04-17T21:36:41","modified_gmt":"2022-04-17T19:36:41","slug":"uyazvimosti-v-swhkd-menedzhere-goryachih-klavish-dlya-wayland","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-v-swhkd-menedzhere-goryachih-klavish-dlya-wayland","title":{"rendered":"Schwachstellen in swhkd, einem Hotkey-Manager f\u00fcr Wayland","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im swhkd (Simple Wayland HotKey Daemon) wurden eine Reihe von Sicherheitsanf\u00e4lligkeiten entdeckt, die durch fehlerhafte Verarbeitung von tempor\u00e4ren Dateien, Kommandozeilenparametern und Unix-Sockets verursacht werden. Das Programm ist in Rust geschrieben und verarbeitet Tastenkombinationen in Umgebungen, die auf dem Wayland-Protokoll basieren (kompatibel auf Ebene der Konfigurationsdateien mit dem Prozess sxhkd, der in Umgebungen auf Basis von X11 verwendet wird). <\/p>\n
Das Paket umfasst den nicht privilegierten Prozess swhks, der Aktionen f\u00fcr die Tastenkombinationen ausf\u00fchrt, sowie den Hintergrundprozess swhkd, der mit Root-Rechten ausgef\u00fchrt wird und mit Eingabeger\u00e4ten auf API-uinput-Ebene interagiert. F\u00fcr die Interaktion zwischen swhks und swhkd wird ein Unix-Socket verwendet. Mit Hilfe von Polkit-Regeln hat jeder lokale Benutzer die M\u00f6glichkeit, den Prozess \/usr\/bin\/swhkd mit Root-Rechten zu starten und ihm beliebige Parameter zu \u00fcbergeben. <\/p>\n
Festgestellte Schwachstellen: <\/p>\n
\n
CVE-2022-27815 \u2014 Speicherung der PID des Prozesses in einer Datei mit vorhersehbarem Namen in einem Verzeichnis, das f\u00fcr andere Benutzer schreibbar ist (\/tmp\/swhkd.pid). Jeder Benutzer kann die Datei \/tmp\/swhkd.pid erstellen und die PID eines bestehenden Prozesses einf\u00fcgen, was dazu f\u00fchrt, dass swhkd nicht gestartet werden kann. Ohne Schutz vor der Erstellung symbolischer Links in \/tmp kann die Schwachstelle genutzt werden, um Dateien in beliebigen Systemverzeichnissen zu erstellen oder zu \u00fcberschreiben (die PID wird in eine Datei geschrieben) oder den Inhalt einer beliebigen Datei im System zu bestimmen (swhkd gibt den gesamten Inhalt der PID-Datei in stdout aus). Bemerkenswert ist, dass die ver\u00f6ffentlichte Korrektur die PID-Datei nicht in das Verzeichnis \/run verschob, sondern in das Verzeichnis \/etc (\/etc\/swhkd\/runtime\/swhkd_{uid}.pid), wo sie ebenfalls nicht hingeh\u00f6rt.\n
CVE-2022-27814 \u2014 Durch Manipulation des Kommandozeilenparameters \u201e-c\u201c, der zur Angabe der Konfigurationsdatei verwendet wird, kann das Vorhandensein einer beliebigen Datei im System festgestellt werden. Zum Beispiel kann man zur \u00dcberpr\u00fcfung von \/root\/.somefile den Befehl \u201epkexec \/usr\/bin\/swhkd -d -c \/root\/.somefile\u201c ausf\u00fchren, und wenn die Datei fehlt, wird der Fehler \u201e\/root\/.somefile doesn\u2019t exist\u201c ausgegeben. Wie bei der ersten Schwachstelle wirft die L\u00f6sung des Problems Fragen auf \u2014 das Problem wird dadurch behoben, dass jetzt ein externes Dienstprogramm \u201ecat\u201c f\u00fcr das Lesen der Konfigurationsdatei gestartet wird (\u2018Command::new(\u2018\/bin\/cat\u2019).arg(path).output()\u2019).\n
CVE-2022-27819 \u2014 Das Problem h\u00e4ngt auch mit der Verwendung der Option \u201e-c\u201c zusammen, \u00fcber die die Konfigurationsdatei vollst\u00e4ndig geladen und ohne \u00dcberpr\u00fcfung von Gr\u00f6\u00dfe und Typ der Datei analysiert wird. Beispielsweise kann ein Denial-of-Service-Angriff durch Ersch\u00f6pfung des freien Speichers und Erstellung von parasit\u00e4rem Ein-\/Ausgang ausgel\u00f6st werden, wenn beim Start eines blockierten Ger\u00e4ts (\u201epkexec \/usr\/bin\/swhkd -d -c \/dev\/sda\u201c) oder eines Zeichenger\u00e4ts, das einen endlosen Datenstrom ausgibt, angegeben wird. Das Problem wurde durch das Zur\u00fccksetzen der Berechtigungen vor dem \u00d6ffnen der Datei behoben, aber der Fix war nicht vollst\u00e4ndig, da nur die Benutzer-ID (UID) zur\u00fcckgesetzt wird, w\u00e4hrend die Gruppen-ID (GID) gleich bleibt.\n
CVE-2022-27818 \u2014 F\u00fcr die Erstellung eines Unix-Sockets wird die Datei \/tmp\/swhkd.sock verwendet, die in einem \u00f6ffentlich beschreibbaren Verzeichnis erstellt wird, was zu \u00e4hnlichen Problemen wie die erste Verwundbarkeit f\u00fchrt (jeder Benutzer kann \/tmp\/swhkd.sock erstellen und Tastendr\u00fccke generieren oder abfangen).\n
CVE-2022-27817 \u2014 Eingabeveranstaltungen werden von allen Ger\u00e4ten und in allen Sitzungen akzeptiert, d.h. ein Benutzer aus einer anderen Wayland-Session oder der Konsole kann Eingaben abfangen, wenn andere Benutzer Hotkeys dr\u00fccken.\n
CVE-2022-27816 \u2014 Der Prozess swhks verwendet wie swhkd die PID-Datei \/tmp\/swhks.pid in einem \u00f6ffentlich beschreibbaren Verzeichnis \/tmp. Das Problem ist analog zur ersten Verwundbarkeit, aber nicht so gef\u00e4hrlich, da swhks unter einem nicht privilegierten Benutzer ausgef\u00fchrt wird. <\/ul>\n