Kriitiline haavatavus PolKitis, mis võimaldab saada root-õigusi enamikus Linuxi distributsioonides

Qualys kuulutas välja haavatavuse (CVE-2021-4034) süsteemikomponendis Polkit (endine PolicyKit), mida kasutatakse jaotustes madala privileegiga kasutajate tegevuste täitmiseks, mis nõuavad kõrgemaid õigusi. See haavatavus võimaldab madala privileegiga kohaliku kasutaja tõsta oma õigused root-kasutajaks ja saada täielik kontroll süsteemi üle. Probleem sai koodnimeks PwnKit ja on märkimisväärne selle poolest, et töötab välja eksploit, mis töötab vaikeseadistuses enamikus Linuxi jaotustes.

Probleem on seotud PolKit'i utiliidiga pkexec, mis jagatakse koos SUID root'i lipuga ja on mõeldud teiste kasutajate privileegidega käskude käivitamiseks vastavalt määratud PolKit'i reeglitele. Vale argumentide töötlemine pkexec'i käsureal võimaldas privileegita kasutajal autentimist ületada ja oma koodi käivitada root'i õigustega, sõltumata määratud pääsureeglitest. Rünnaku jaoks ei ole oluline, millised seaded ja piirangud PolKit'is on seatud; piisab, kui pkexec utiliidi käivitataval failil on määratud SUID root'i omadus.

Pkexec ei kontrolli käsurea argumentide (argc) loenduri kehtivust protsessi käivitamisel. Pkexeci arendajad eeldasid, et argv massiivi esimene väärtus sisaldab alati protsessi nime (pkexec) ja teine kas väärtust NULL või pkexec kaudu käivitava käsu nime. Kuna argumentide loendurit ei kontrollitud tegeliku massiivi sisu vastu ja eeldati, et see on alati suurem kui 1, siis kui protsessile edastati tühi argv massiiv, mis on Linuxis funktsiooni execve poolt lubatud, käsitles pkexec väärtust NULL esimese argumendina (protsessi nimi) ja järgmist väljaspool puhversükkesse asuvat mälu, kui massiivi sisu. |———+———+——+————|———+———+——+————| | argv[0] | argv[1] | … | argv[argc] | envp[0] | envp[1] | … | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| V V V V V V «program» «-option» NULL «value» «PATH=name» NULL

Probleemiks on see, et argv massiivi järel mälus asub envp massiiv, mis sisaldab keskkonnamuutujate väärtusi. Seega, kui argv massiiv on tühi, ekstraktiveerib pkexec käivitatava kõrgendatud õigustega käsu andmed keskkonnamuutujate massiivi esimesest elemendist (argv[1] muutub identseks envp[0]-ga), mille sisu võib ründaja kontrollida.

Saades väärtuse argv[1], proovib pkexec koos PATH-i failiteede arvesse võtmisel määrata täispika tee täidetava faili ja kirjutada näidiku täispika tee stringi tagasi argv[1] sisse, mis toob endaga kaasa ka esimese keskkonnamuutuse väärtuse üle kirjutamise, kuna argv[1] on identne envp[0-ga]. Manipuleerides esimese keskkonnamuutuja nimega, saab ründaja asendada pkexec-s teise keskkonnamuutujaga, näiteks sisestada keskkonnamuutujat «LD_PRELOAD», mis ei ole lubatud suid-programmides, ja korraldada oma jagatud teegi laadimise protsessi.

Töökeskkonnas asendatakse muutuja GCONV_PATH, mida kasutatakse märkide kodeerimise teegi tee määramiseks, mis laaditakse dünaamiliselt, kui kutsutakse üles funktsiooni g_printerr(), kus kasutatakse iconv_open(). Ümber määrates GCONV_PATH tee, saab ründaja saavutada mitte tavalise iconv teegi laadimise, vaid oma teegi, mille töötlejad käivitatakse viga väljundamisel, mil pkexec töötab veel root õigustega ja enne käivitamise õiguste kontrollimist.

Tavaliselt on probleem, hoolimata sellest, et see on põhjustatud mälu kahjustusest, usaldusväärselt ja korduvasti kasutatav sõltumata kasutatavast riistvaraarhitektuurist. Valmistatud eksploit on edukalt testitud Ubuntu, Debian, Fedora ja CentOS-s, kuid seda saab kasutada ka teistes jaotustes. Originaaleksploit ei ole endiselt avalikult saadaval, mis viitab sellele, et see on triviaalne ja teised teadlased saavad selle lihtsalt taastada, seetõttu on mitme kasutajaga süsteemides oluline võimalikult kiiresti installida parandusega uuendus. Polkit on samuti saadaval BSD-süsteemidele ja Solaris'ele, kuid nende puhul ei ole proovitud ründe võimet. On teada ainult, et rünnakut ei saa läbi viia OpenBSD-s, kuna OpenBSD kern ei luba execve() väljakutses nullväärtuse argc edastamist.

Probleem on olemas alates 2009. aasta maist, mil lisati pkexec käsk. Tõrke parandamine PolKitis on praegu saadaval plaastrina (korrektuurne väljalase pole loodud), kuid kuna levitajad olid eelnevalt probleemist teavitatud, on enamik levitajaid avaldanud uuenduse samaaegselt haavatavuse avalikustamisega. Probleem on kõrvaldatud RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux ja Manjaro. Ajutiseks meetmeks haavatavuse blokeerimiseks võib eemaldada SUID root lipu programmilt /usr/bin/pkexec („chmod 0755 /usr/bin/pkexec“).

Allikas: opennet.ru