Guixi pakettihalduris on haavatavus, mis võimaldab kaugkoodi täitmist süsteemis

Guix'i pakettihalduse työkalussa on havaittu haavoittuvuuksia (CVE-tunnuksia ei ole määritetty) sisäisen "guix substitute" -komennon toteutuksessa. Tämä komento kutsutaan automaattisesti taustaprosessista guix-daemon pakettiasennusoperaatioiden yhteydessä. Komentoa käytetään jo koottujen binaaripakettien lataamiseen ulkoisilta palvelimilta ja niiden eheys tarkistetaan digitaalisen allekirjoituksen avulla. Vaarallisin haavoittuvuus mahdollistaa etäkäytettävän koodin suorittamisen käyttäjän järjestelmässä niillä käyttöoikeuksilla, joilla taustaprosessi guix-daemon toimii.

Ongelma koskee kaikkia konfiguraatioita, joissa on guix-daemon-prosessi, riippumatta siitä, käynnistetäänkö se root-oikeuksilla tai epäprivilegioidulla käyttäjällä. Haavoittuvuuden hyödyntämiseksi riittää mikä tahansa yritys ladata valmiita binaaripaketteja serverile, hyökkääjän hallitsemalta palvelimelta. Tässä tapauksessa haitallinen server ei pea olema selgelt valitud ega kasutaja seadetes määratletud — see võib määrata valiku kaudu „—discover“, mis võimaldab serveri asendamist MITM-ründe käigus. Konfiguratsioonides, kus guix-daemon töötab kõrgendatud privileegidega, võib kohalik kasutaja rünnata, kui tal on võimalus ühendada taustprotsessiga Unix-soketiga (vaikimisi on see üldiselt kõigile kasutajatele saadaval).

Haavatavus esineb „restore-file“ töötlejas, mis rakendab paketi lahtipakkimist selle laadimise käigus, oodates kuni pakett on täielikult laaditud ja allkirjastatud arhiivi verifitseeritud. Probleem tuleneb puudulikest kontrollidest failiteede osas, kus esinevad sümbolid „.”, „/” ja „..” arhiivis. Valefailinimedega arhiivi asendamine võib võimaldada ründajal kirjutada juhuslikku faili igasse failisüsteemi piirkonda, sõltuvalt õigustest, millega guix-daemon taustprotsessina töötab.

Koodi täitmise korraldamiseks süsteemis võite näiteks lisada automaatselt käivitatava skripti, nagu "~/.bashrc" või "~/.profile", või muuta faili "~/.ssh/authorized_keys" SSH võtmete jaoks. Kui mitu kasutajat jagavad süsteemi, võib ründaja üle kirjutada paroolide faili või süsteemi skriptid, kui guix-daemon töötab root-kasutajana.

Asjade loomisvõime tagamine pahavara levitamiseks tuleneb sellest, et metaandmete (narinfo) laadimisprotsess, mis puudutab kergesti kättesaadavaid binaarpakette (fetch-narinfos), ei kontrollinud serveri sertifikaati, toetudes sellele, et enamik metaandmetest on allkirjastatud digitaalselt. Nagu selgus, ei hõlmanud allkiri paketi laadimise URL-i, mis võimaldas seda muuta ilma metaandmete terviklikkust rikkumata. Lõpuks oleks vale pakett kõrvale heidetud, kuna selle sisu ei läbinud digitaalselt allkirjastatud rippmenüüsse, kuid seda kontrollimist tehti pärast failide lahtipakkimist, kus ilmnes probleem erimärkidega failinimistest.

Lisaks käsule „guix substitute“ on haavatav käitleja „restore-file“ aktiivne ka käskude „guix offload“, „guix archive —extract“ ja „guix challenge“ puhul, mille kaudu saab haavatavust samuti ära kasutada. Haavatavuse blokeerimiseks soovitatakse selgelt määrata valik „—no-substitutes“ kõigis guix käskudes. Haavatavuse parandus on lisatud Guixi koodibaasi. Kasutajatele soovitatakse viivitamatult paigaldada arendajate koostatud guix ja guix-daemon uuendused.

Lisaks mainitud probleemile on Guixis kõrvaldatud veel kolm haavatavust:

• Binaarpakettide asendamise võimalus, kuna puudub kontroll, kas küsitud pakett vastab tagastatud metainformatsioonile käsitlejas fetch-narinfos. Haavatavust saab kasutada, et edastada vananenud versioon küsitud paketist, mis sisaldab haavatavusi.
• Prindimise sisu esimese rea suvalistest failidest süsteemis kohaliku kasutaja URI-ga "file://" olema esitatud päringuga ("—substitute-urls file:////etc/shadow"). Kui guix-daemon töötab root-õigustega, loeb see taotletud faili, tuvastab, et see ei ole metaandmed ja väljastab veateate, kus mainitakse rida, mida ei õnnestunud analüüsi allutada.
• Eriti vormindatud välise repositooriumi nime ("../../../newfile") esitamine käskude "guix pull" ja "guix time-machine" täitmisel võimaldab salvestada andmeid, mis sisaldavad commit-infot, suvalisse olemasolevasse faili failisüsteemis, kui selle sisu sarnaneb Scheme'i keeles ridade nimekirjaga. Haavatavust saab kasutada DoS-rünnakute jaoks, kuid ei ole välistatud, et läbi kavalate manipuleerimiste pseudofailisüsteemiga /proc on võimalik saavutada veelgi ohtlikumaid süsteemi manipuleerimisi.

Allikas: opennet.ru