Uus haavatavuste seeria telnetd-s, mis võimaldab süsteemis saada root-privileegid

Jaanuaris tuvastatud haavatavusest, mis võimaldas root-kasutajana sisse logida parooli kontrollimata, on GNU InetUtilsi telnetd serveris leitud mitu viisi privileegide tõstmiseks, mis tulenesid haavatavuse mittetäielikust kõrvaldamisest 1999. aastal (CVE-1999-0073).

Haavatavused on põhjustatud telnetd-s klientide poolt serverisse keskkonnamuutujate edastamise võimalusest ENVIRON valikuga. Sellised keskkonnamuutujad seadistatakse ja töödeldakse telnetd protsessi kontekstis ning edastatakse tema käivitatud alamprotsessidele, sealhulgas rooti õigustes käivitatavale protsessile /bin/login. CVE-1999-0073 haavatavus võimaldas telnet-kliendil edastada keskkonnamuutuja LD_LIBRARY_PATH, mis määrab kasutaja poolt antud jagatud teegi laadimise login protsessi käivitamisel. Kui ründajal on võimalus failide laadimiseks süsteemi, mis toetab telnet-protokolli, suudab ta laadida spetsiaalselt kujundatud teegi ja korraldada selle laadimise root õigustes.

GNU InetUtilsi telnetd-s kõrvaldatakse haavatavus ohtlike keskkonnamuutujate blokkimisega, filtreerides maskide „LD_”, „LIBPATH”, „ENV”, „IFS” ja „_RLD_” kaudu. Samas jäi blokeerimata keskkonnamuutuja „CREDENTIALS_DIRECTORY”, mida töödeldakse /usr/bin/login käivitamisel. Selle keskkonnamuutujaga sai kasutaja muuta autentimisandmete seadete katalooge ja paigutada uude kataloogi faili login.noauth väärtusega „yes”, mis aktiveerib sisselogimise ilma paroolita (sarnane login protsessile edastatud „-f” lipule). Seade kehtib kõigi kasutajate, sealhulgas root, jaoks.

Rünnak seisneb selles, et priviligeerimata kasutaja loob oma kodukatalooge alamsubkatalooge, laadib sinna faili login.noauth ja proovib siseneda, seadistades keskkonnamuutuja „CREDENTIALS_DIRECTORY=loodud kataloog” ning edastades keskkonnamuutujat „USER=root” (telnetis on automaatse ühenduse režiim, kus kasutajanimi võetakse mitte käsurealt, vaid edastatakse keskkonnamuutujaga USER). Näide eksploitimisest.

Leiti oli tuvastatud veel üks meetod, kuidas saada root-juurdepääs telnetd kaudu, mis on seotud GNU gettext'i raamatukogus töödeldud keskkonnaparameetrite OUTPUT_CHARSET ja LANGUAGE manipuleerimisega ning glibc-s kasutatava keskkonnaparameetriga GCONV_PATH. Asetades keskkonnaparameetrid OUTPUT_CHARSET ja LANGUAGE, saab ründaja aktiveerida gettext'i funktsionaalsuse, mis muundab sümbolite kodeeringut, kutsudes esile funktsiooni iconv_open(). Omakorda, käivitades funktsiooni iconv_open() gconv-modules konfiguratsioonifaili laadimise ajal, arvutatakse tee, arvestades keskkonnaparameetrit GCONV_PATH. Gconv-modules faili asendamine võimaldab laadida kohandatud jagatud teeki lokaliseeritud stringi väljundis login protsessi ajal.

CVE-identifikaatoreid olulistele haavatavustele ei ole veel määratud. Kaitsemeetodina kaalutakse lubatud väärtuste valge nimekirja kasutuselevõttu („TERM“, „DISPLAY“, „USER“, „LOGNAME“ ja „POSIXLY_CORRECT“), blokeerides kõik muud keskkonnaparameetrid, sarnaselt OpenSSH tööprotsessiga. Haavatavused on kinnitatud GNU InetUtils paketis, mille rakendamine telnetd on saadaval Debianis, Ubuntu ja selle tuletistes. Parandusi GNU InetUtils jaoks ei ole veel saadaval. serverilt Telnetd, mis tarnitakse Debianis, Ubuntu ja nende tuletistes. Rocky Linux 9 sisaldab muudetud telnetd-d, mis ei ole haavatav, ning kus ohtlike keskkonnaparameetrite filtreerimise asemel on kasutusele võetud valge nimekirja kontrollimine. Valge nimekirja filtreerimine on samuti rakendatud FreeBSD telnetd-s. OpenBSD telnetd eemaldati süsteemist 2005. aastal.

Allikas: opennet.ru