AppArmoris leitud haavatavused, mis võimaldavad saada root-õigus süsteemis

Qualys tuvastas 9 haavatavust AppArmori volituste haldamise süsteemis, millest kõige ohtlikumad võimaldavad kohalikel ilma õigusteta kasutajatel saada root õigusi süsteemis, väljuda isoleeritud konteineritest ja ületada AppArmor'i kaudu kehtestatud piiranguid. Haavatavuste koodnimi on CrackArmor. CVE-id on veel määramata. Edukaid õiguste tõstmise näiteid on demonstreeritud Ubuntu 24.04 ja Debian 13-s.

Probleemid on kohal LSM-moodulis AppArmor alates Linuxi tuumast 4.11, mis ilmus 2017. aastal, ja need avalduvad distributsioonides, mis kasutavad AppArmor'it, nagu Ubuntu, Debian, openSUSE ja SUSE (alates openSUSE/SUSE 16 on vaikimisi aktiveeritud SELinux, kuid AppArmor on jäetud valikuks). Rikkumiste parandused on edastatud Linuxi tuuma arendajatele ja lähiajal pakutakse neid kasutajatele uuenduste osana versioonides 6.18.18, 6.19.8, 6.12.77, 6.6.130, 6.1.167, 5.15.203 ja 5.10.253. Parandus on juba kaasatud tänastes Ubuntu tuuma pakettide uuendustes. Samuti on Ubuntu'is välja antud uuendused pakettidele sudo, sudo-ldap ja util-linux (mille koostises on utiliit su), kus on kõrvaldatud puudujäägid, mis võimaldasid kasutada AppArmori haavatavust. Debianis on uuendus töös.

Probleemid on põhjustatud AppArmoris esinevast fundamentaalsest haavatavusest, mida nimetatakse „segadusse ajatud volituste“ („confused-deputy“), mis võimaldab volitusteta kasutajatel laadida, asendada ja kustutada oma määratlemata AppArmori profiile. Seda haavatavust saab otse kasutada programmide ja teenuste kaitse väljalülitamiseks kohalikest ja kaugpealetungi vastu (näiteks /sys/kernel/security/apparmor/.load, .replace ja .remove failide kirjutamine, et eemaldada piiranguid cupsd ja rsyslogd-s), teenuse katkestamise algatamiseks (keelatud profiilide rakendamine) ja nimede ruumide piirangute ületamiseks (nt uue AppArmori profiili „userns“ laadimine, mis on mõeldud /usr/bin/time jaoks, mis võimaldab luua piiramatu user namespace).

AppArmori profiilide vahetamise võimalus võimaldab samuti saavutada root-kasutaja õigusi, sidudes privileege omavaid utiliite, nagu su ja sudo, uute profiilidega, mis piiravad juurdepääsu teatud süsteemi kutsungitele. Eelkõige saab root õigusi, blokeerides setuid (CAP_SETUID) toimingu sudo utiliidil koos keskkonnamuutuja MAIL_CONFIG manipuleerimisega, et vahetada kausta, kus asuvad postituste seadistused. serverilt Postfix.

Meetodi essents seisneb selles, et probleemide korral saadab utiliit sudo administraatorile kirja, käivitades /usr/sbin/sendmail. Blokeerides privileegide tühistamise, on võimalik selle protsessi käivitamine root õigustega, ja seadistades enne sudo käivitamist keskkonnamuutuja MAIL_CONFIG, saab edastada sendmail utiliidile teised seadistused, sealhulgas määrata oma töötleja postdrop, mis käivitatakse kirjade saatmisel. $ mkdir /tmp/postfix $ cat > /tmp/postfix/main.cf < /tmp/postfix/postdrop <> /tmp/postfix/pwned EOF $ chmod -R 0755 /tmp/postfix $ apparmor_parser -K -o sudo.pf < /sys/kernel/security/apparmor/.replace Parool: $ env -i MAIL_CONFIG=/tmp/postfix /usr/bin/sudo whatever sudo: PERM_SUDOERS: setresuid(-1, 1, -1): Operatsioon ei ole lubatud sudo: ei suuda avada /etc/sudoers: Operatsioon ei ole lubatud sudo: setresuid() [0, 0, 0] -> [1001, -1, -1]: Operatsioon ei ole lubatud sudo: audit-plugin sudoers_audit initsialiseerimise viga $ cat /tmp/postfix/pwned uid=0(root) gid=1001(jane) groups=1001(jane),100(users)

Muude privileegide tõstmise viisid hõlmavad AppArmori kodeerimise haavatavusi, mis töötavad Linuxi tuumatasemel. On näidatud, kuidas saavutada root õigused haavatavuste kaudu, mis on põhjustatud free() funktsiooni topeltkäivitamisest ja juba vabastatud mälupiirkonna (use-after-free) aadressimisest AppArmori profiilide laadimise ja vahetamise koodis. Näiteks salvestab AppArmor profiili struktuuri aa_loaddata, mille mälu eraldatakse slab-cache'ist kmalloc-192, ja kuna olemas on võistlusolukord, ei ole välistatud, et mälule, mis oli struktuuri poolt hõivatud, päästakse juurde pärast selle vabastamist. Seda probleemi saab kasutada vabastatud mälu kontrollimiseks ja vabastatud mälulehe uuesti jaotamiseks, et kaardistada faili /etc/passwd sisu ja kirjutada üle root parooli rida.

Allikas: opennet.ru