Guixi paketihalduris avastatud haavatavus, mis võimaldab süsteemis kaugkoodi täitmist

Paketihaldur Guixis avastati haavatavused (CVE-d ei ole määratud) sisetöötluskomandi «guix substitute» teostuses, mille kutsub automaatselt esile taustaprotsess guix-daemon pakettide installimise operatsioonide käigus. Komandat kasutatakse juba kokku pandud binaarpaketide allalaadimiseks välistelt serveritelt, kontrollides nende terviklikkust digitaalallkirja abil. Kõige ohtlikum haavatavus võimaldab kaugtasandilt koodi täitmist kasutaja süsteemis õigustes, milles taustaprotsess guix-daemon töötab.

Probleem puudutab kõiki konfiguratsioone, kus töötab guix-daemon, olenemata sellest, kas see käivitatakse root-õigustes või madala prioriteediga kasutaja all. Haavatavuse ärakasutamiseks piisab igasugusest katsest alla laadida valmis binaarpakette, serverilt, mis on ründaja kontrolli all. Samuti ei pea pahavara tingimata olema selgelt valitud või määratud kasutaja seadetes — see võib määrata valiku „—discover“ abil, mis võimaldab serveri asendamist MITM-rünnaku käigus. Konfiguratsioonides, kus guix-daemon töötab kõrgendatud õigustes, võib kohalikke kasutajaid rünnata, kui on võimalik ühenduda taustaprotsessiga Unix-soketi kaudu (mis on vaikimisi kõigile kasutajatele saadaval). server Haavatavus on olemas «restore-file» töötlejas, mida kasutatakse paketi allalaadimise ajal lahtipakkimiseks, ootamata faili täielikku allalaadimist ja allalaaditud arhiivi digitaalallkirja verifitseerimist. Probleem tuleneb kontrolli puudumisest, kas arhiivis olevates failiteedes on sümboleid «.», «/» ja «..». Ründaja saab vigaste failinimede kaudu arhivisse asendusi lisades saavutada suvalise faili kirjutamise igasse failisüsteemi piirkonda, kuivõrd lubavad õigused, milles taustaprotsess guix-daemon töötab.

Oma koodi täitmiseks süsteemis, näiteks, saab lisada automaatselt käivitava skripti, nagu «~/.bashrc» või «~/.profile», või muuta faili «~/.ssh/authorized_keys» SSH võtmetega. Kui guix-daemon töötatakse mitme kasutajaga süsteemis root-kasutaja all, võib ründaja üle kirjutada paroolifaili või süsteemiskripte.

Süsteemi koodi käivitamiseks saab näiteks lisada automaatselt käivitatava skripti, nagu «~/.bashrc» või ~/.profile, või muuta faili ~/.ssh/authorized_keys SSH võtmete jaoks. Kui mitme kasutajaga süsteemis guix-daemon töötab root kasutajana, võib ründaja üle kirjutada paroolifaili või süsteemis skripte.

Tehniline võimalus luua valetserversid pahatahtlike paketide edastamiseks tulenes sellest, et metaandmete (narinfo) laadimise protseduur saadaolevate binaarsete pakettide (fetch-narinfos) kohta ei kontrollinud serveri sertifikaati, toetudes sellele, et peamine osa metaandmetest on allkirjastatud digitaalselt. Selgus, et allkiri ei hõlmanud paketi laadimise URL-i, mis võimaldas selle asendada, rikkumata metaandmete terviklikkust. Lõppkokkuvõttes oleks vale pakett kõrvaldada, kuna see ei vastanud selle sisu hash-kontrollile, mis oli digitaalselt allkirjastatud, kuid see kontroll toimus pärast lahtipakkimise etappi, kus ilmnes probleem erimärkide kasutamisel failinimedes.

Lisaks käsule „guix substitute” on haavatav töötlus „restore-file” kaasatud käskude „guix offload”, „guix archive —extract” ja „guix challenge” tööle, mille kaudu on samuti võimalik haavatavust ära kasutada. Üks võimalus haavatavuse blokeerimiseks on selgelt määrata valik „—no-substitutes” kõigis guix-i käskudes. Haavatavuse parandamine on lisatud Guixi koodibaasi. Kasutajatele soovitatakse viivitamatult installida arendajate loodud guix ja guix-daemon uuendused.

Peale tuvastatud probleemi on Guixis lahendatud veel kolm haavatavust:

• Võimalus asendada binaarpakette seetõttu, et puudub kontroll, kas taotletud pakett vastab tagastatud metaandmetele töötluses fetch-narinfos. Haavatavust saab kasutada vananenud versiooni tagastamiseks, mis sisaldab haavatavusi.
• Soumisesüsteemi ükskõiksete failide esimese rea sisu määramine kohaliku kasutaja esitatud päringu kaudu URI „file://” („—substitute-urls file:///etc/shadow”). Kui guix-daemonit käitatakse root-õigustega, loeb see taotletud faili, määrab, et see ei ole metaandmed ja genereerib vea, mille tekstis mainitakse rida, mida ei õnnestunud tõlgendada.
• Spetsiaalselt vormindatud välisrepo nime («..../..../..../..../newfile») näitamine käskude "guix pull" ja "guix time-machine" täitmisel võimaldab salvestada andmeid commit’i teabe kohta suvalisse olemasolevasse faili failisüsteemis, kui selle sisu meenutab Scheme'i keeles ridade loendit. Haavatavust saab kasutada DoS-rünnakute jaoks, kuid ei saa välistada, et tarkade manipuleerimistega pseudosüsteemi "/proc" kaudu on võimalik saavutada süsteemi veel ohtlikumaid manipulatsioone.

Allikas: opennet.ru