Ohutusprobleemid networkd-dispatcheris, mis võimaldavad omandada root õigused

Microsofti turva-uuringute eksperdid avastasid kaks haavatavust (CVE-2022-29799, CVE-2022-29800) teenuses networkd-dispatcher, mis on koodnimedega Nimbuspwn ja võimaldavad mittetäielikul kasutajal käivitada juhuslikke käske root õigustes. Probleem on lahendatud networkd-dispatcher versioonis 2.2. Teavet distributsioonide uuenduste avaldamise kohta (Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux) pole veel saadaval.

Networkd-dispatcherit kasutatakse paljudes Linux'i distributsioonides, sealhulgas Ubuntu's, mis kasutavad süsteemi parameetrite seadistamiseks taustaprotsessi systemd-networkd, ning see täidab funktsioone, mis on sarnased NetworkManager-dispatcher'ile, st töötleb skripte, kui muutub võrguühenduse seisund, näiteks käivitab VPN pärast põhivõrguühenduse seadistamist.

Networkd-dispatcheriga seotud taustaprotsess töötab root õigustes ja võtab sündmuste signaale D-Bus'i bussilt. Informatsioon võrguühenduse seisundite muutumise sündmuste kohta edastatakse teenuse systemd-networkd kaudu. Probleem on selles, et mittetäielikud kasutajad saavad genereerida mitteeksisteeriva oleku sündmuse ja algatada oma skripti käivitamise, mis toimub root õigustes.

Systemd-networkd on kavandatud ainult süsteemi käsitsi töötlejatena kasutamiseks, mis asuvad kataloogis /etc/networkd-dispatcher ja ei ole kasutaja jaoks asendatavad, kuid haavatavuse (CVE-2022-29799) tõttu failitee töötlemise koodis oli võimalik minna välja põhikataloogist ja käivitada juhuslikke skripte. Erakordselt toimingulistel viisidel tekkis failitee genereerimisel D-Bus'i kaudu edastatavad OperationalState ja AdministrativeState väärtused, kus eriliste märkide puhastamist ei teostatud. Ründaja sai genereerida oma oleku, mille nimes olid märgid "..\/" ja suunata networkd-dispatcher'i päringu teise katalooge.

Teine haavatavus (CVE-2022-29800) on seotud võistlusolukorraga - skripti parameetrite kontrollimise (root-i kuuluvuse) ja selle käivitamise vahel oli väikene ajavahemik, mis oli piisav faili asendamiseks ja skripti kasutaja root-ile kuuluvuse kontrolli kõrvalehoidmiseks. Lisaks puudus networkd-dispatcheris sümboolsete linkide kontroll, sealhulgas skriptide käivitamisel subprocess.Popen kaudu, mis lihtsustas rünnaku korraldamist.

Rünnakutehnika:

• Looge kataloog «/tmp/nimbuspwn» ja sümboolne link «/tmp/nimbuspwn/poc.d», mis osutab kataloogile «/sbin», mida kasutatakse root-ile kuuluvate täidetavate failide kontrollimise vältimiseks.
• Kataloogis «/tmp/nimbuspwn» luuakse sarnaste nimedega failid «/sbin» täidetavate failide jaoks, näiteks faili «/sbin/vgs» jaoks luuakse täidetav fail «/tmp/nimbuspwn/vgs», mis kuulub privileege mitteomavale kasutajale ning kuhu paigutatakse kood, mida ründaja soovib käivitada.
• D-Bus protsessis saadetakse networkd-dispatcherile signaal, mille OperationalState-i väärtuseks on «../../../tmp/nimbuspwn/poc». Signeali saatmiseks «org.freedesktop.network1» nimiruumi kasutati võimalust ühendada oma töötlejad systemd-networkd'ga, näiteks gpgv või epmd manipuleerimise kaudu, või võite kasutada fakti, et systemd-networkd ei ole vaikimisi käivitatud (näiteks Linux Mintis).
• Pärast signaali vastuvõtmist loob Networkd-dispatcher loendi täidetavatest failidest, mis kuuluvad kasutajale root ja on saadaval kataloogis «/etc/networkd-dispatcher/../../../../tmp/nimbuspwn/poc.d», mis tegelikult osutab «/sbin».
• Ootamise hetkel, kui failide loend on saadud, kuid skripti ei ole veel käivitatud, suunatakse sümboolne link «/tmp/nimbuspwn/poc.d» ümber «/tmp/nimbuspwn» ja networkd-dispatcher käivitab ründaja paigutatud skripti root-õigustega.

Allikas: opennet.ru