Root-haavatavus Snap pakihaldustarkvaras

Qualys avastas selle aasta kolmanda tõsise haavatavuse (CVE-2022-3328) utiliidis snap-confine, mis on varustatud SUID root lipuga ja mida käitab protsess snapd, et luua täitmiskeskkond snap-formaadis iseseisvaid rakendusi sisaldavatele pakettidele. Haavatavus võimaldab kohalikel, mitte-privileegitud kasutajatel saada root’i õigusi Ubuntu vaikeseades. Probleem on lahendatud versioonis snapd 2.57.6. Pakettide uuendused on välja antud kõigi toetatud Ubuntu harude jaoks.

On huvitav, et arutatav haavatavus lisati sarnase veebruari haavatavuse parandamise protsessi käigus snap-confine'is. Uurijatel õnnestus valmistada töövõime, mis annab root-juurdepääsu Ubuntu Server 22.04-le, mille puhul on lisaks snap-confine'i haavatavusele seotud ka kaks haavatavust multipathd protsessis (CVE-2022-41974, CVE-2022-41973), mis on seotud privileege kontrollivate käskude edastamise ja sümboolsete linkidega ebaturvalise töötlemisega.

Snap-confine'i haavatavus tuleneb võistlusolukorrast funktsioonis must_mkdir_and_open_with_perms(), mis lisati katalooge /tmp/snap.$SNAP_NAME, et kaitsta kaustade asendamise eest sümboolsetele linkidele omaniku kontrollimise järel, kuid enne mount-süsteemikõne sooritamist bind-monteerimiseks katsetas. Lisatud kaitse seisnes katalooge /tmp/snap.$SNAP_NAME nimelise randomiseerimise muutmises teise katalooge all /tmp, kui see eksisteerib ja ei kuulu kasutajale root.

Haavatavuse ärakasutamisel muutis kataloogide /tmp/snap.$SNAP_NAME uuendamine, et uurijad said kasutada ka seda, et snap-confine loob katalooge /tmp/snap.rootfs_XXXXXX snap-paketi sisu juureks. Osa «XXXXXX» nimes valitakse juhuslikult mkdtemp() funktsiooniga, kuid pakett nimega «rootfs_XXXXXX» võib läbi minna tüve sc_instance_name_validate kontrollimise, st idee on, et $SNAP_NAME nimeks muutub «rootfs_XXXXXX», ja seega viib nimemuutus katalooge /tmp/snap.rootfs_XXXXXX snap-juure all kirjutamisse.

Selleks, et saavutada samaaegset kasutamist /tmp/snap.rootfs_XXXXXX ja katalooge /tmp/snap.$SNAP_NAME muutmist, käivitati kaks snap-confine'i eksemplari. Kui esimene eksemplar loob katalooge /tmp/snap.rootfs_XXXXXX, lukustub protsess ja käivitatakse teine eksemplar nimega rootfs_XXXXXX, mis viib oma ajutise kausta /tmp/snap.$SNAP_NAME muutmise到 /tmp/snap.rootfs_XXXXXX. Pärast rename toimingut lõpetas teine eksemplar ootamatult, ja /tmp/snap.rootfs_XXXXXX asendati võistlusolukorra manipuleerimisega, nagu veebruari haavatavuse ärakasutamise korral. Pärast asendust eemaldati esimese eksemplari heldus ja ründajad said täieliku kontrolli snap-juure katalooge.

Viimases etapis loodi sümboolne link /tmp/snap.rootfs_XXXXXX/tmp, mida kasutati funktsioonis sc_bootstrap_mount_namespace() bind-monteerimiseks kirjutatavas füüsilises kataloogis /tmp, mis iga katalooge FS-s, kuna mount() tõuke tulevaste sümboolsete linkide sõnumit enne monteerimist. Selline monteerimine on AppArmori piirangutega blokeeritud, kuid need blokid ületamiseks hõlmas utiliidis kahte abikwaidad multipathd.

Allikas: opennet.ru