Haavatavused utiliidis needrestart, mis võimaldavad saavutada root-juurdepääsu Ubuntu Serveri süsteemile

Qualys tuvastas utiliidis needrestart kolm haavatavust, mis on mõeldud taustprotsesside taaskäivitamiseks pärast andmete töötlemisel kasutatavate teekide värskendamist. Alates Ubuntu 21.04 on utiliit needrestart osa Ubuntu Serveri põhi keskkonnast, mille õigustega root käivitub iga APT pakihalduse tehingu lõpus, skaneerib käimasolevaid protsesse ja taaskäivitab need, mis on seotud pakettide värskendamise järel muutunud failidega. Tuvastatud haavatavused võimaldavad kohalikel, privileegideta kasutajatel saada root-õigusi Ubuntu Serveris vaike konfiguratsioonis.

Haavatavused on olemas needrestart'is alates versioonist 0.8 (2014. aasta) ja on kõrvaldatud needrestart versioonis 3.8. Probleemid on juba parandatud ka Debian ja Ubuntu distributsioonides. Ühe võimaliku lahendusena haavatavuse ärakasutamise vältimiseks saab skaneerimise keelata interpreteerijates, määrates konfiguratsioonifailis /etc/needrestart/needrestart.conf parameetri "$nrconf{interpscan} = 0".

Haavatavused on olemas koodis, mis määratleb skriptide värskendamise tuvastamise režiimi, mida käivitatakse interpreteerijate abil. Tuvastatud probleemid:

• CVE-2024-48990 — Kohalik kasutaja suudab saavutada root-õigustega koodi täitmise, luues tingimused Python-interpreteerija käivitamiseks, seadistades rünnakuga kaasasoleva keskkonnamuutuja PYTHONPATH. Lisaks Pythonile saab rünnakut läbi viia ka (CVE-2024-48992) Ruby interpretaatori käivitamise kaudu, seadistades keskkonnamuutuja RUBYLIB.

  Haavatavused on põhjustatud sellest, et needrestart utiliit seadis muudetud skripti taaskäivitamise käigus keskkonnamuutujate PYTHONPATH väärtuse, mis põhineb failis /proc/pid/environ oleva sisu põhjal. Ründaja saab oodata APT pakihaldusega seotud aktiivsust, simuleerida oma skripti muutmist ja määrata selle jaoks keskkonnamuutuja PYTHONPATH, mis rakendatakse ka needrestart'i koodis sisse ehitatud Python-koodi käivitamisel ("import sys\n print(sys.path)"), mis täidetakse root-õigustes.

  Näiteks, haavatavuse kasutamiseks võib luua pidevalt mälu kasutava Python-protsessi, seades selle keskkonnamuutuja "PYTHONPATH=/home/test", ja paigutada jagatud teeki " /home/test/importlib/__init__.so", mis käivitatakse privileegidega Python-koodi täitmisel needrestarti poolt.

• CVE-2024-48991 — kohalik kasutaja võib saavutada root-õigustega koodi käivitamise, põhjustades võistlusseisundi (race condition), mille tulemusena käivitab needrestart ründaja määratud vale Python-interpreteerija süsteemse Python-interpreteerija asemel. Haavatavuse olemus on sarnane eespool mainitud probleemiga, ainus erinevus on see, et needrestart määrab Python-protsessi nime (nt /usr/bin/python3), lugedes " /proc/pid/exe".

  Haavatavuse kasutamiseks on võimalik luua protsess /home/test/race, mis kasutab inotify mehhanismi, et oodata, kuni needrestart hakkab lugema sisu /proc/pid/exe, ja seejärel kohe käivitab süsteemse Python-interpreteerija execve-funktsiooni kaudu. Kuna needrestart ei tee kontrolli, kas see on tegelik Python, peab ta /home/test/race'i Python-interpreteerijaks ja käivitab selle oma koodi jaoks.

• CVE-2024-11003 — kohalik kasutaja võib saavutada suvaliste shell-käskude käivitamise root-õigustega, luues needrestartis failinimede töötlemiseks tingimused vormingus "käsk|", mille edastamine Perl-funktsioonile open() viib käsu käivitamiseni. Tegelikult väljendub haavatavus Perl-modulis ScanDeps (CVE-2024-10224), kuid seda põhjustab välistest parameetritest ilma nõutava kontrollita modulisse saatmine.

  Rünnakut saab teostada käivitades Perl-skripti, mille nimel on sümbol "|", näiteks " /home/test/perl|". scan_deps() funktsiooni täitmise käigus avab needrestart selle faili open() funktsiooni kaudu, mis käsitleb sümbolit "|" lipuna programmi " /home/test/perl" käivitamiseks ja saadud väljundvoo kasutamiseks.

Allikas: opennet.ru