Vulnerabilities in the needrestart utility allow root access on Ubuntu Server

Qualys avastas kolm haavatavust tööriistas needrestart, mis on mõeldud taustprotsesside taaskäivitamiseks pärast andmetega töötavate protsesside raamatukogude värskendamist. Alates Ubuntu 21.04 on tööriist needrestart osa Ubuntu Serveri põhikeskkonnast, kus see käivitatakse root-õigustega iga APT pakihalduri tehingu lõpus, skaneerib käivitatud protsesse ja taaskäivitab need, mis on seotud failidega, mis on pärast pakettide värskendamist muutunud. Avatud haavatavused võimaldavad kohalikel, mitteprivileegitud kasutajatel saada root-õigused vaikimisi konfiguratsiooniga Ubuntu Serveris.

Haavatavused on olemas needrestart versioonist 0.8 (2014. aasta) ja need on kõrvaldatud needrestart 3.8 väljaandes. Probleemid on samuti juba parandatud Debian ja Ubuntu distributsioonides. Käitusviisina haavatavuse ärakasutamise blokeerimiseks võib skaneerimise keelata, seadistades konfiguratsioonifailis /etc/needrestart/needrestart.conf parameetri "$nrconf{interpscan} = 0".

Haavatavused on olemas koodis, mis implementeerib skriptide värskendamise tuvastamise režiimi, mis on käivitatud interpreteerijate kasutamisega. Tuvastatud probleemid:

• CVE-2024-48990 — lokaalne kasutaja võib saavutada root-oigusel koodi käivitamise, luues tingimused Python-interpretatori käivitamiseks, milles on ründaja määratud keskkonnamuutuja PYTHONPATH. Lisaks Pythonile võib rünnak toimuda ka (CVE-2024-48992) Ruby interpretatori käivitamisega, mille keskkonnamuutuja on RUBYLIB.

  Haavatavused on põhjustatud sellest, et utiliit needrestart määrab silla skripti taaskäivitamise protsessis keskkonnamuutuj PYTHONPATH faili /proc/pid/environ sisu põhjal, mida kasutatakse ka oma Python-koodi käivitamiseks. Seega võib ründaja oodata tegevust, mis on seotud APT paketihalduri tööga, simuleerida oma skripti muutmist ning seada sellele keskkonnamuutuj PYTHONPATH, mis rakendub ka needrestarti integreeritud Python-koodi käivitamisel ("import sys\n print(sys.path)"), mis viiakse läbi root-oigusel.

  Näiteks haavatavuse kasutamiseks saab käitada pidevalt mäles püsivat Python-protsessi, seadistades selle keskkonnamuutuja „PYTHONPATH=/home/test” ning paigutades jagatud teegi „/home/test/importlib/__init__.so”, mis täidetakse privileegidega Python-koodi käivitamisel needrestarti kaudu.

• CVE-2024-48991 — kohalik kasutaja võib saavutada root õigustega koodi täitmise, algatades võistluse (race condition), mille tulemusena needrestart käivitab ründaja poolt esitatud vale Python-interpretatsiooni, mitte süsteemset Python-interpretatsiooni. Haavatavuse olemus on sarnane ülalkirjeldatud probleemile, ainus erinevus on see, et needrestart määrab Python-protsessi nime (nt /usr/bin/python3) lugedes „/proc/pid/exe”.

  Haavatavuse kasutamiseks saab luua protsessi /home/test/race, mis ootab inotify mehhanismi abil aega, mil needrestart hakkab lugema sisu /proc/pid/exe, ja kohe käivitab läbi funktsiooni execve süsteemse Python-interpretatsiooni. Kuna needrestart ei kontrolli, kas see tõepoolest on Python, arvab ta, et /home/test/race on Python-interpretatsioon ja käivitab selle oma koodi jaoks.

• CVE-2024-11003 — kohalik kasutaja võib saavutada juurõigustega suvaliste shell-käskude täitmise, luues needrestartis tingimusi, mis käsitlevad failinimesid vormingus „kommando|”, mille edastamine Perl-funktsiooni open() käivitab käsu. Tegelikult avaldub haavatavus Perl-moodulis ScanDeps (CVE-2024-10224), kuid selle põhjustab väliste parameetrite edastamine sellele moodulile ilma nõuetekohase kontrollita.

  Rünnak võib toimuda Perl-skripti käivitamise kaudu, mille nimel on sümbol „|”, näiteks „/home/test/perl|”. Funktsiooni scan_deps() täitmisel needrestartis avatakse see fail open() funktsiooni kaudu, mis käsitleb sümbolit „|” fläagina programmi „/home/test/perl” käivitamiseks ja saadud väljundi kasutamiseks.

Allikas: opennet.ru