Haavatavus ld.so OpenBSD-s

Dünaamiline laadija 2.4. Chokepointi variant, mis kuulub OpenBSD-sse, võib teatavatel tingimustel SUID/SGID-rakendustes jätta keskkonnamuutuja LD_LIBRARY_PATH ja seega lubada kolmanda osapoole koodi laadimist konteksti, mis töötab kõrgendatud privileegidega. Vigade parandamise pakid haavatavuse jaoks on saadaval väl releases 6.5 ja 6.6. Binaarsed paketid (syspatch) amd64, i386 ja arm64 platvormide jaoks on juba tootmisse jäänud ja peaksid olema kergesti saadaval allalaadimiseks selle uudise avaldamise ajaks.

Probleemi olemus: ld.so töö käigus esmalt tõmbab keskkonnast välja LD_LIBRARY_PATH muutuja väärtuse, muudab selle _dl_split_path() funktsiooni abil stringide massiiviks — kataloogide teede massiiviks. Kui hiljem selgub, et jooksva protsessi on alustanud SUID/SGID-rakendus, siis moodustatud massiiv ja ise keskkonnamuutuja LD_LIBRARY_PATH puhastatakse. Samuti, kui _dl_split_path() töö käigus satub mälupuudusesse (mis on keeruline, arvestades keskkonnamuutujate suuruse piiri 256 kB, kuid teoreetiliselt võimalik), siis muutujale _dl_libpath antakse NULL väärtus ning subsequent kontroll selle muutuja väärtuse üle jätab vahele _dl_unsetenv(«LD_LIBRARY_PATH») kutsumise.

Haavatavus on leitud spetsialistide poolt Qualys, samuti nagu mõned varasemad avalikustatud probleemid. Haavatavuse tuvastanud küberturbe teadlased märkisid probleemi lahendamise kiirusest: pattide ettevalmistamine ja uuenduste väljalaskmine toimus kolme tunni jooksul pärast OpenBSD projektilt teate saamist.

Täiendav info: Probleemile on antud number CVE-2019-19726. Tellijate nimekirjas oss-security on tehtud ametlik teadaanne, mis sisaldab eksploitatsiooni prototüüpi, mis töötab OpenBSD 6.6, 6.5, 6.2 ja 6.1 arhitektuuridel
amd64 ja i386 (exploit võib olla kohandatud ka teistele arhitektuuridele).
Probleem on kasutatav vaikimisi installatsioonis ja võimaldab privileege mitte omaval lokaalsel kasutajal käivitada koodi root õigustes, otsides raamatukogu suid-utiliteetide chpass või passwd käivitamisel. Kasutades mälupuuduse võimaldamiseks seati RLIMIT_DATA piirang läbi setrlimit.

Allikas: opennet.ru