Glibc ld.so haavatavus, mis võimaldab süsteemis root õigusi saada

Qualys on tuvastanud ohtliku haavatavuse (CVE-2023-4911) ld.so linkimisprogrammis, mis on osa Glibci (GNU libc) süsteemsete C-raamatukogude komplektist. Haavatavus võimaldab kohalikul kasutajal oma õigusi süsteemis tõsta, määrates spetsiaalselt vormindatud andmed keskkonnamuutujasse GLIBC_TUNABLES enne suid rooti lipuga käitatava faili käivitamist, näiteks /usr/bin/su.

Haavatavuse edukat ärakasutamist on demonstreeritud Fedora 37 ja 38, Ubuntu 22.04 ja 23.04, Debian 12 ja 13 mõjuga. Eeldatakse, et haavatavus ilmneb ka teistes jaotustes, mis kasutavad Glibci. Musli süsteemsete C-raamatukogude baasil põhinevad jaotused, nagu Alpine Linux, ei ole probleemi all. Haavatavus on kõrvaldatud 2. oktoobril lisatud plaastris. Pakettide värskenduste väljalaskmist jaotustes saab jälgida Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, Gentoo, ALT Linux lehtedel.

Haavatavus on põhjustatud aprillis 2021 tehtud muudatusest, mis oli osa glibc 2.34 väljaandest. Koodiread, mis on määratud keskkonnamuutujasse GLIBC_TUNABLES, sisaldavad viga, mille tõttu vale parameetrite kombinatsioon selles muutujas põhjustab parsiteud väärtuse kirjutamise eraldatud puutükkide piirest. Probleem ilmneb, kui tavapäraste järjestuste «name=val» asemel on parameetrid antud topeltmääramise kujul «name=name=val». Sellisel juhul töödeldakse määrangut kaks korda, algselt kui «name=name=val» ja hiljem kui «name=val». Sellise topeltprotsessi tagajärjel moodustub tulemus «name=name=val:name=val», mille suurus ületab tunestr puutüki suuruse.

Uurimusmeeskond on valmistanud ette stabiilselt töötava eksploidimise, mis võimaldab saada root-käivitusõigused praktiliselt mis tahes programmiga, millel on suid root lipp. Erandid on utiliit sudo (muudab ELF RUNPATH väärtust), utiliidid chage ja passwd Fedora's (on kaitstud eraldi SELinux reeglitega) ja utiliit snap-confine Ubuntu's (on kaitstud eraldi AppArmori reeglitega). Pakutud ekspluateerimise meetod ei toimi ka RHEL 8 ja RHEL 9 puhul, kuigi need versioonid on haavatavad (rünnaku jaoks on vajalik teise eksploidimise loomine). Eksploidimise kood avaldatakse hiljem, pärast haavatavuse laialdast kõrvaldamist. Oma süsteemi haavatavuse kontrollimiseks saab kasutada allpool toodud käsku, mis konkurentsi korral läbi kukub: env -i "GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=A" "Z=`printf ‘192x’ 1`" \/usr\/bin\/su —help

Eraldi toome välja Glibc kahte lisahaavatavust kõrvaldamise.

• CVE-2023-4806 — vabanenud mäluala (use-after-free) juurdepääs funktsioonis getaddrinfo(), mis ilmneb, kui NSS-plug-in rakendab ainult call-back kutseid „_gethostbyname2_r“ ja „_getcanonname_r“, kuid ei toeta kutset „_gethostbyname3_r“. Haavatavuse ära kasutamiseks peab DNS-server tagastama suure arvu IPv6 ja IPv4 aadresse, mis toob kaasa protsessi kokkuvarisemise, mis kutsus välja funktsiooni getaddrinfo AF_INET6 aadressipere jaoks, pannud lippudele AI_CANONNAME, AI_ALL ja AI_V4MAPPED.
• CVE-2023-5156 — mälu sisu leke võtva funktsiooni getaddrinfo, AF_INET6 aadressipere jaoks, kui lipud AI_CANONNAME, AI_ALL ja AI_V4MAPPED on seatud.

Allikas: opennet.ru