{"id":103885,"date":"2022-04-27T15:36:48","date_gmt":"2022-04-27T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root"},"modified":"2022-04-27T15:36:48","modified_gmt":"2022-04-27T13:36:49","slug":"uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root","title":{"rendered":"Schwachstellen im networkd-dispatcher, die Root-Rechte erm\u00f6glichen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sicherheitsforscher von Microsoft haben zwei Schwachstellen (CVE-2022-29799, CVE-2022-29800) im Dienst networkd-dispatcher entdeckt, die den Codenamen Nimbuspwn tragen und es einem nicht privilegierten Benutzer erm\u00f6glichen, beliebige Befehle mit Root-Rechten auszuf\u00fchren. Das Problem wurde in der Version 2.2 von networkd-dispatcher behoben. Informationen \u00fcber die Ver\u00f6ffentlichung von Updates durch die Distributionen sind noch nicht verf\u00fcgbar (Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux). <\/p>\n

Networkd-dispatcher wird in vielen Linux-Distributionen eingesetzt, einschlie\u00dflich Ubuntu, und verwendet den Hintergrundprozess systemd-networkd zur Konfiguration von Netzwerkparametern. Es erf\u00fcllt Funktionen, die \u00e4hnlichen wie NetworkManager-dispatcher sind, d.h. es startet Skripte bei \u00c4nderungen des Netzwerkverbindungsstatus, beispielsweise wird es verwendet, um VPN<\/a> nach der Einrichtung der prim\u00e4ren Netzwerkverbindung zu starten. <\/p>\n

Der mit dem networkd-dispatcher verbundene Hintergrundprozess l\u00e4uft mit Root-Rechten und empf\u00e4ngt Ereignissignale \u00fcber die D-Bus-Schnittstelle. Informationen \u00fcber Ereignisse, die mit dem Statuswechsel von Netzwerkverbindungen zusammenh\u00e4ngen, werden von dem Dienst systemd-networkd gesendet. Das Problem besteht darin, dass unprivilegierte Benutzer ein Ereignis zu einem nicht existierenden Zustand generieren und das Ausf\u00fchren ihres Skripts initiieren k\u00f6nnen, welches mit Root-Rechten ausgef\u00fchrt wird. <\/p>\n

Systemd-networkd ist f\u00fcr den Betrieb von Systemskripten konzipiert, die im Verzeichnis \/etc\/networkd-dispatcher abgelegt sind und nicht durch den Benutzer ersetzt werden k\u00f6nnen. Aufgrund einer Schwachstelle (CVE-2022-29799) im Code der Dateipfadanalyse bestand jedoch die M\u00f6glichkeit, au\u00dferhalb des Basisverzeichnisses zu gelangen und beliebige Skripte auszuf\u00fchren. Insbesondere wurden bei der Generierung des Dateipfades zum Skript die \u00fcber D-Bus \u00fcbertragenen Werte OperationalState und AdministrativeState verwendet, bei denen keine Bereinigung von Sonderzeichen vorgenommen wurde. Ein Angreifer konnte einen eigenen Zustand generieren, dessen Name die Zeichen \u00ab..\/\u00bb enthielt, und so die Anfrage an den networkd-dispatcher in ein anderes Verzeichnis umleiten. <\/p>\n

Die zweite Schwachstelle (CVE-2022-29800) betrifft einen Race Condition \u2014 zwischen der \u00dcberpr\u00fcfung der Skriptparameter (Zugeh\u00f6rigkeit zu root) und der Ausf\u00fchrung des Skripts gab es ein kleines Zeitfenster, das ausreichend war, um die Datei zu ersetzen und die \u00dcberpr\u00fcfung der Skriptzugeh\u00f6rigkeit zu umgehen. Dar\u00fcber hinaus fehlte im networkd-dispatcher die \u00dcberpr\u00fcfung auf symbolische Links, auch bei der Ausf\u00fchrung von Skripten \u00fcber den Aufruf von subprocess.Popen, was die Durchf\u00fchrung des Angriffs erheblich erleichterte. <\/p>\n

Exploitationstechnik: <\/p>\n