OpenBSD haavatavused, mis võimaldavad õiguste tõstmist ja autentimise ümbersuunamist smtpd, ldapd ja radiusd

Qualys ettevõte tuvastas neli haavatavuse OpenBSD-s, millest üks võimaldab mõnedele võrgu teenustele autentimiseta kaugühendust, ja kolm teist tõsta süsteemis privileege. Qualyse aruandes rõhutatakse OpenBSD arendajate kiiret reageerimist - kõik probleemid olid on kõrvaldatud ja OpenBSD 6.5 ja OpenBSD 6.6 40 tunni jooksul pärast privaatset teavitamist.

Kaugelt ära kasutatav haavatavus on põhjustatud tõrkest autentimise käsitleja kutsumise korraldamises libc teegis, mis kutsub esile
programmi /usr/libexec/auth/login_style, edastades argumente käsureal. Sealhulgas login_style'i kutsub kasutama valikulist parameetrit "-s teenus", on lubatud edastada protokolli nimi. Kui kasutajanime alguses on märk „-“, töödeldakse seda nime login_style'i käivitamisel kui valikut. Seetõttu, kui autentimise käigus isikuna nimetada „-schallenge“ või „-schallenge:passwd“, käsitleb login_style otsingut kui päringut töötleja kasutamiseks. S/Key.

Probleem on selles, et S/Key protokolli toetatakse login_style'is vaid formaalselt, kuid sisuliselt ignoreeritakse seda koos eduka autentimise tunnuse väljundiga. Seega saab ründaja, esitades end kasutajana „-schallenge”, autentimise kõrvale hiilida ja pääseda juurde ilma parooli või võtmeta. Potentsiaalselt on probleem ohustatud kõigi võrgu teenustega, mis kasutavad tavapäraseid libc kutsungite autentimiseks. Näiteks on autentimisest kõrvalehiilimise võimalus kinnitatud smtpd (AUTH PLAIN), ldapd ja radiusd puhul.

sshd-s ei avaldu haavatavus, kuna selles on lisakaitse, mis kontrollib kasutaja olemasolu süsteemis. Sellegipoolest saab sshd-d kasutada süsteemi haavatavuse kontrollimiseks - kui nõutakse kasutajanime „-sresponse:passwd“, hangub ühendus, kuna sshd ootab login_passwd'ilt kutsumise parameetreid (challenge), samas kui login_passwd ootab puuduvaid parameetreid (nimi „-sresponse“ tõlgendatakse valikuna). Potentsiaalne kohaliku ründajana võib püüda autentimist utiliidiga su kõrvaldada, kuid nime „-sresponse“ edastamine põhjustab protsessi kokkujooksmise nullviitaja tagastamise tõttu, kui käivitatakse funktsioon getpwnam_r(„-schallenge“, ...).

Teised haavatavused:

• CVE-2019-19520 — kohalik priviligeeritõus, mis tuleneb xlock utiliidi väärkasutamisest, mis on varustatud sgid lipuga, mis muudab grupi "auth". xlock koodis keelatakse teekide ülekirjutamine ainult kasutaja identifikaatori (setuid) muutmisel, mis võimaldab ründajal muuta keskkonnamuutujat "LIBGL_DRIVERS_PATH" ja laadida oma jagatud teegi, mille kood käivitatakse pärast privileegide tõstmist grupini "auth".
• CVE-2019-19522 — võimaldab kohalikel kasutajatel, kes kuuluvad gruppi "auth", käivitada koodi root õigustes, kui süsteemis on aktiveeritud S/Key või YubiKey autentimine (tavaliselt ei ole need aktiivsed). Rühma "auth" pääsemine, kuhu pääseb läbi xlocki ülalmainitud haavatavuse ärakasutamise, võimaldab faile kirjutada kataloogidesse /etc/skey ja /var/db/yubikey. Näiteks saab ründaja lisada uue faili /etc/skey/root, et genereerida ühekordseid võtmeid autentimiseks root kasutaja all S/Key kaudu.
• CVE-2019-19519 — võimalus tõsta ressursside limiite su utiliidi väärkasutamise kaudu. Kui kasutatakse valikut "-L", mis eeldab autentimise katsete kordumist ebaõnnestumise korral, seatakse kasutajaklass ainult ühe korra ja ei lähtestata järgmiste katsete korral. Ründaja võib sooritada "su -l -L" ja esimesel katsel sisestada teiste kasutajate sisselogimise teise kasutajaklassiga, kuid teise katse ajal autentida end edukalt oma all. Sellisel juhul seadistatakse kasutajale limiidid, mis vastavad kasutajaklassile, mis oli määratud esimesel katsel (nt protsesside maksimaalne arv või protsessi mälu suurus). Meetod töötab ainult mittepriviligeeritud kasutajatelt limiitide laenamiseks, kuna root kasutaja jaoks on vajalik kuuluda wheel gruppi.

Lisaks võib märkida rakendus OpenBSD-s on uus meetod süsteemikõnede kehtivuse kontrollimiseks, mis muudab haavatavuste ärakasutamise keerulisemaks. Meetod lubab süsteemikõnesid teostada ainult siis, kui neid tehakse eelnevalt registreeritud mälu piirkondadest. Mälu piirkondade märgistamiseks on pakutud uus süsteemikõne msyscall().

Allikas: opennet.ru