Haavatavused Pagure'is ja OBS'is, mis võimaldasid Fedora ja openSUSE repo pakettide kompromiteerimist.

Fenriski turvauuringute teadlased avalikustasid teavet Pagure'i ja OBS'i (Open Build Service) tööriistade haavatavuste kohta, mis võimaldasid kompromiteerida Fedora ja openSUSE pakettide loomise infrastruktuure. Uurijad demonstreerisid võimalust rünnata ja täita suvalist koodi Pagure'i ja OBS'i serverites, mida oleks saanud kasutada muudatuste tegemiseks Fedora ja openSUSE repo pakettides.

Pagure platvormil, mida kasutatakse Fedora pakettide ja metaandmete koostööks, tuvastati 4 haavatavust. Tuvastatud probleemide ärakasutamiseks on vajalik konto olemasolu Pagure'is, mille võivad luua kõik huvilised (praegu on Pagure.io's registreeritud 24899 kasutajat). Kolm probleemi võimaldavad lugeda süsteemi faile, ja üks probleem võimaldab täita suvalist koodi. serveris. Probleemid tuvastati 1. jaanuaril 2024, teatati bugzilla.redhat.com kaudu 25. aprillil 2024 ja lahendati Pagure'is 3 tunni jooksul.

• Haavatavused CVE-2024-4981 ja CVE-2024-47515 on põhjustatud sümboolsete linkide vale töötlemise tõttu failide värskendamise ja arhiivide genereerimise funktsioonides. Need haavatavused võimaldavad lugeda kohalikke faile serveris, näiteks on võimalik saada juurdepääs Pagure'i administraatori seansiseade faili sisule ja saada sellele õigustega juurde. Haavatavuse ärakasutamine funktsioonis _update_file_in_git() seisneb Pagure'is repo loomises; uue faili lisamises commit'iga, mis on loodud sümboolse lingina soovitud süsteemifailile; ja selle faili avamises veebiliideses redigeerimiseks.
• Haavatavus (CVE-2024-4982) funktsioonis view_issue_raw_file() võimaldab pääseda baaskaustast välja, näidates päringute parameetrites sümboleid „/..“. Probleem võimaldab lugeda süsteemi faile, kuivõrd lubavad õigused protsessi all, millega veebiliides töötab. Näiteks faili /etc/passwd vaatamiseks võiks avada lehe „http://pagure.local:5000/your-repository/issue/raw/../../../../../../etc/passwd“.
• Haavatavus (CVE-2024-47516) funktsioonis PagureRepo.log() võimaldab sisestada oma käske ja käivitada koodi serveris. Probleem tuleneb sellest, et faili ajaloo vaatamisel veebiliideses kutsutakse `git` käsku koos haru ID edastamisega käsureal (näiteks `/usr/bin/git --pretty=oneline --abbrev-commit -- README.md`). ID korrektset kontrollimist ei toimu, seega on võimalik edastada mis tahes käsurea valik, näiteks `--output=/tmp/foo.bar`, et suunata väljund faili. Ründaja võib faili süsteemis üle kirjutada, saates järgmise taotluse: http://pagure.local:5000/test/history/README.md?identifier=--output=/tmp/foo.bar

  Pagure töötab git kasutajana, seega saab üle kirjutada ainult selle kasutaja faile. Oma koodi serveris käitamiseks saab kasutada SSH kaudu repole pääsemise teenust, millele pääsemisel käivitub käsk `bash -c /usr/libexec/pagure/aclchecker.py`. Ründaja võib kasutada haavatavust faili `/srv/git/.bashrc` üle kirjutamiseks ja see fail käivitatakse bash-käsutäitja poolt, kui repot käsitletakse SSH kaudu.

  Rünnak seisneb süsteemi Pagure registreerumises, repositooriumi loomises, README.md faili lisamises commit-märgetega nagu `|| /bin/bash` ja taotluse saatmises `http://pagure.local:5000/test/history/README.md?identifier=--output=/srv/git/.bashrc`. Nende sammude käigus salvestatakse faili `/srv/git/.bashrc` rida, mis näeb välja nagu `34а5с43 || /bin/bash`. Loodud faili `/srv/git/.bashrc` käitamiseks piisab, kui ühenduda repositooriumiga SSH kaudu oma konto alt. Koodi käitamine serveris git kasutaja õigustes Pagure'is võimaldab kontrollida kogu repode sisu pakettide jaoks.

Platvormil OBS (Open Build Service), mida kasutatakse openSUSE's ja mõnedes teistes jaotustes pakettide kogu loomiseks, on avastatud haavatavus (CVE-2024-22033), mis võimaldab oma koodi serveris käivitada. Haavatavus avastati 27. juunil 2024, teatati openSUSE projektile 29. juunil ja kõrvaldatakse 10. juulil.

Haavatavus esineb teenuses „obs-service-download_url“, kus puudus nõuetekohane URL-i kontroll, mida kasutatakse wget utiliidi käivitamiseks skriptist, mis laadib alla koodi OBS-is. Ründaja võib määrata OBS-is koostatud paketi konfiguratsiooni, kus laadimiskoodile mõeldud URL-i asemel on määratud wget-i käsurea valik, näiteks: --output-document=\/tmp\/test tempfile

Veateate vältimiseks wget-i käivitamisel ilma URL-ita on näites kasutatud „download-manifest“ valikut, mis lubab määrata URL-ide loetelu eraldi failis. Ülaltoodud näide käivitab käsu: \/usr\/bin\/wget -i \/srv\/obs\/service\/XXXXX\/src\/tempfile -4 --output-document=\/tmp\/test

mis võimaldab salvestada faili \/tmp\/test sisu, mis on allalaaditud lingilt, mis on märgitud failis \/srv\/obs\/service\/XXXXX\/src\/tempfile, mis on ründaja poolt alla laaditud OBS-is build.opensuse.org liidese kaudu, mis võimaldab vabalt registreeruda. Lisaks faili ülekirjutamisele serveris saab ründaja endale saata mis tahes faili, määrates „--output-document“ asemel valiku „--post-file“, näiteks „--post-file=\/etc\/passwd“. Sel viisil võib ründaja lugeda ja kirjutada faile serveris vastavalt õigustele, mida OBS-i teenusena töötav kasutaja omab.

Kuna failide kirjutamise võimaluse muutmine koodi käivitamiseks serveris osutus keerukaks, pakkusid uurijad meetodi, mis koosneb kahest etapist. Kaksteist etappi on vajalikud, et ründaja saaks luua faili „.wgetrc“ wget-i seadistustega, kuid see ei piisa käskude käivitamiseks. Samas saab „.wgetrc“ kaudu luua tingimusi, et käivitada süsteemis mõnda programmi, kuid ilma argumentide edastamiseta. Juhuslike koodide käivitamiseks on soovitatud käivitada „prove“ programm, mis töötleb konfigureerimisfaili „.proverc“, mis lubab määrata valiku „--exec“ mis tahes koodi käivitamiseks.

Esimeses etapis luuakse kasutaja "obsservicerun" kodukaustas läbi ülaltoodud toimingute "download-manifest" kaudu fail " .proverc", mis sisaldab käske, mis täidetakse protsessi "prove" käivitamisel. Teises etapis luuakse fail " .wgetrc" parameetriga "use-askpass=\/usr\/bin\/prove", mis kutsub esile "prove". Pärast nende failide ilmumist piisab, kui luua üleslaadimise tingimused mis tahes andmete jaoks wget'iga ja see toob kaasa ründaja koodi käivitamise serveris kasutaja "obsservicerun" õigustega. Kasutaja "obsservicerun" õigused on piisavad, et hankida hoidlatest võtmeid, mida OBSi kasutajad pakettide allkirjastamiseks kasutavad.

Täiendav teave: SUSE tootetehnika meeskond usub, et OBSi haavatavuse oht on üle hinnatud ja uurijate väide, et probleem võimaldab kompromiteerida kõik paketid openSUSE'i distributsioonis, ei vasta tõele. Tuletatakse meelde, et build.opensuse.org infrastruktuuri teenuseid käitatakse isoleeritud konteineritega, mis uuesti luuakse ja ei sisalda kriitilist teavet. Leitud haavatavust peetakse ohtlikuks, kuid ebapiisavaks openSUSE'i ehitusinfrastruktuuri ja loodud pakettide kompromiteerimiseks. Samuti öeldakse, et OBSi liidese tegevusi, nagu on kirjeldatud ründes, võidi sooritada ainult OBSi variandi puhul, mis on arendaja tööjaamas kohalikult installitud.

Allikas: opennet.ru