Viga sudo, mis võimaldab privileegide tõstmist, kasutades spetsiifilisi reegleid

Utiliit Sudo, mis kasutatakse teiste kasutajate nimel käskude täitmise korraldamiseks, tuvastatud haavatavus (CVE-2019-14287), mis võimaldab käivitada käske root-õigustega, kui sudoers seadetes on reeglid, kus kasutaja ID kontrollimise sektsioonis lubava võtme sõna "ALL" järel on selge keeld root-õigustega käivitamisest ("… (ALL, !root) …"). Vaikeseadetes levitatavates distributsioonides ei avaldu see haavatavus.

Kui sudoers'is on lubatud, kuid praktikas äärmiselt haruldased reeglid, mis lubavad teatud käsu täitmist mis tahes kasutaja UID-iga, välja arvatud root, siis ründaja, kellel on selle käsu täitmise õigused, võib kehtestatud piirangu ületada ja käivitada käsu root-õigustega. Piirangu ületamiseks piisab, kui proovida käivitada seadetes märgitud käsku UID-ga «-1» või «4294967295», mis toob kaasa selle täitmise UID 0-ga.

Näiteks, kui seadetes on reegel, mis lubab igal kasutajal käivitada programmi /usr/bin/id mis tahes UID-ga:

myhost ALL = (ALL, !root) /usr/bin/id

või variant, mis lubab täitmise ainult konkreetsele kasutajale bob:

myhost bob = (ALL, !root) /usr/bin/id

Kasutaja võib käivitada «sudo -u ‘#-1’ id» ja utiliit /usr/bin/id käivitatakse root-õigustega, hoolimata selgest keelust seadetes. Probleem tuleneb eriväärtuste «-1» või «4294967295» tähelepanuta jätmisest, mis ei too kaasa UID muutumist, kuid kuna sudo juba täidetakse root-õigustega, siis vahetamata UID-d käivitatakse ka sihtkäsk root-õigustega.

Distributsioonides SUSE ja openSUSE, ilma „NOPASSWD“ reegli määramata, on haavatavus mitte kergesti kasutatav, kuna sudoers'is on vaikimisi lubatud režiim „Defaults targetpw“, mille korral kontrollitakse UID-d paroolide andmebaasi järgi ja küsitakse sihtkasutaja parool sisestamist. Selliste süsteemide puhul saab rünnaku läbi viia ainult selliste reeglite olemasolul:

myhost ALL = (ALL, !root) NOPASSWD: /usr/bin/id

Probleem on lahendatud väljaandes Sudo 1.8.28. Parandus on saadaval ka kujul patch. Distributsioonides on haavatavus juba kõrvaldatud Debian, Arch Linux, SUSE/openSUSE, Ubuntu, Gentoo ja FreeBSD. Artikli kirjutamise hetkel jääb probleem lahendamata RHEL ja Fedora. Haavatavus avastati Apple'i turuuuringutest.

Allikas: opennet.ru