Glibc ld.so haavatavus, mis võimaldab süsteemis root õigusi saada

Qualys on tuvastanud ohtliku haavatavuse (CVE-2023-4911) ld.so linkimisprogrammis, mis on osa Glibci (GNU libc) süsteemsete C-raamatukogude komplektist. Haavatavus võimaldab kohalikul kasutajal oma õigusi süsteemis tõsta, määrates spetsiaalselt vormindatud andmed keskkonnamuutujasse GLIBC_TUNABLES enne suid rooti lipuga käitatava faili käivitamist, näiteks /usr/bin/su.

Haavatavuse edukat ärakasutamist on demonstreeritud Fedora 37 ja 38, Ubuntu 22.04 ja 23.04, Debian 12 ja 13 mõjuga. Eeldatakse, et haavatavus ilmneb ka teistes jaotustes, mis kasutavad Glibci. Musli süsteemsete C-raamatukogude baasil põhinevad jaotused, nagu Alpine Linux, ei ole probleemi all. Haavatavus on kõrvaldatud 2. oktoobril lisatud plaastris. Pakettide värskenduste väljalaskmist jaotustes saab jälgida Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, Gentoo, ALT Linux lehtedel.

Haavatavus on põhjustatud aprillis 2021 tehtud muudatusest, mis oli osa glibc 2.34 väljaandest. Koodiread, mis on määratud keskkonnamuutujasse GLIBC_TUNABLES, sisaldavad viga, mille tõttu vale parameetrite kombinatsioon selles muutujas põhjustab parsiteud väärtuse kirjutamise eraldatud puutükkide piirest. Probleem ilmneb, kui tavapäraste järjestuste «name=val» asemel on parameetrid antud topeltmääramise kujul «name=name=val». Sellisel juhul töödeldakse määrangut kaks korda, algselt kui «name=name=val» ja hiljem kui «name=val». Sellise topeltprotsessi tagajärjel moodustub tulemus «name=name=val:name=val», mille suurus ületab tunestr puutüki suuruse.

Uurimisrühmad on välja töötanud töökindla exploiti, mis võimaldab saada root õigusi praktiliselt iga programmiga, millel on suid root lipp. Erandeid moodustavad utiliit sudo (mis muudab ELF RUNPATH väärtust), utiliidid chage ja passwd Fedora's (mis on kaitstud eraldi SELinux reeglitega) ning utiliit snap-confine Ubuntu's (mis on kaitstud eraldi AppArmor reeglitega). Pakutud kasutusmeetod ei toimi samuti RHEL 8 ja RHEL 9 versioonides, kuigi need versioonid on haavatavad (rünnakuks on vajalik uue exploiti loomine). Exploiti kood avaldatakse hiljem pärast haavatavuse ulatuslikku kõrvaldamist. Oma süsteemi haavatavuse kontrollimiseks võib kasutada allpool toodud käsku, mis ebaõnnestub, kui probleem on olemas: env -i "GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=A" "Z=`printf '192x' 1`" /usr/bin/su --help

Eraldi toome välja Glibc kahte lisahaavatavust kõrvaldamise.

• CVE-2023-4806 — vabanenud mäluala (use-after-free) juurdepääs funktsioonis getaddrinfo(), mis ilmneb, kui NSS-plug-in rakendab ainult call-back kutseid „_gethostbyname2_r“ ja „_getcanonname_r“, kuid ei toeta kutset „_gethostbyname3_r“. Haavatavuse ära kasutamiseks peab DNS-server tagastama suure arvu IPv6 ja IPv4 aadresse, mis toob kaasa protsessi kokkuvarisemise, mis kutsus välja funktsiooni getaddrinfo AF_INET6 aadressipere jaoks, pannud lippudele AI_CANONNAME, AI_ALL ja AI_V4MAPPED.
• CVE-2023-5156 — mälu sisu leke võtva funktsiooni getaddrinfo, AF_INET6 aadressipere jaoks, kui lipud AI_CANONNAME, AI_ALL ja AI_V4MAPPED on seatud.

Allikas: opennet.ru