Kohalikud root-haavatavused Snap-pakettide haldamise tööriistades

Qualys avastas kaks haavatavust (CVE-2021-44731, CVE-2021-44730) snap-confine utiliidis, mis tarnitakse SUID root tähisega ja mida snapd protsess kutsub välja rakenduste täitmisoleku loomiseks, mis tarnitakse iseseisvates snap-pakettides. Need haavatavused võimaldavad kohalikul, privileegide puudumisega kasutajal saavutada süsteemis root-õiguste täitmise. Probleemid on lahendatud tänases snapd paketihalduri uuenduses Ubuntu 21.10, 20.04 ja 18.04 jaoks.

Esimene haavatavus (CVE-2021-44730) võimaldab rünnakut, manipuleerides kõvakettaliideseid, kuid see eeldab kõvakettaliideste süsteemi kaitse keelamist (sysctl fs.protected_hardlinks seadistamine väärtusele 0). Probleem tuleneb vale kontrollimisest snap-update-ns ja snap-discard-ns abi programmide täitmise failide asukohtade osas, mis käivitatakse root-õigustega. Nende failide teed arvutatakse funktsioonis sc_open_snapd_tool() oma teest /proc/self/exe, mis võimaldab luua kõvakettaliidese snap-confine oma katalooge ja paigutada sellesse katalooge oma variante utiliite snap-update-ns ja snap-discard-ns. Pärast kõvakettaliidese kaudu snap-confine käivitamist root-õigustega käivitab see ründaja määratud kataloogist failid snap-update-ns ja snap-discard-ns.

Teine haavatavus on põhjustatud võidujooksu olukorrast ja seda saab ära kasutada Ubuntu Desktopi vaikeseadistuses. Kasutaja peab aga Ubuntu Serveri installimisel valima ühe paketist, mis kuulub kategooriasse „Featured Server Snaps“, et edukalt ekspluateerida. Võidujooksu olukord avaldub funktsioonis setup_private_mount(), mida kutsutakse välja snapi paketiga seotud mount-kohakeste ettevalmistamise ajal. Antud funktsioon loob ajutise katalooge "/tmp/snap.$SNAP_NAME/tmp" või kasutab juba olemasolevat mountimiseks snapi üle.

Kuna ajutise katalooge nimi on etteennustatav, saab ründaja selle sisu asendada sümboolse lingiga vahetult pärast omaniku kontrollimist, kuid enne mount süsteemikõne tegemist. Näiteks võib luua kataloogis /tmp/snap.lxd sümboolse lingi „/tmp/snap.lxd/tmp“, mis osutab suvalisele kataloogile, ja mount() kutse järgneb sümboolsele lingile ning mountib katalooge snap-nimede ruumis. Samamoodi saab mountida oma sisu /var/lib ja asendada /var/lib/snapd/mount/snap.snap-store.user-fstab, et korraldada oma katalooge /etc mountimist snap-paketi nimede ruumis, et laadida oma raamatukogu root õigustega läbi /etc/ld.so.preload asendamise.

Tuleb märkida, et eksploitimise loomine osutus mitte triviaalseks ülesandeks, kuna utiliit snap-confine on kirjutatud Go keeles, kasutades turvalise programmeerimise meetodeid, omab AppArmori profiilide põhist kaitset, filtreerib süsteemikõnesid seccomp mehhanismi põhjal ning rakendab mountimiseks nimede ruumi isolatsiooni. Siiski õnnestus teadlastel valmistada ette töötav eksploit, et saavutada root õigused süsteemis. Eksplooit kood avaldatakse nädalate pärast, pärast seda kui kasutajad on installinud antud uuendused.

Allikas: opennet.ru