LineageOSi infrastruktuuri murdmine SaltStacki haavatavuse kaudu

Mobiilse platvormi arendajad LineageOS, mis asendab CyanogenModi, hoiatavad infrastruktuuri ründamise jälgede tuvastamise eest projekti. Teadaolevalt sai ründaja kell 6 hommikul (MSK) 3. mail juurdepääsu keskse konfiguratsioonihalduse süsteemi peamisele serverile SaltStack hilisema haavatavuse ärakasutamise kaudu. Praegu käib juhtumi uurimine ja üksikasjad pole veel kergesti kättesaadavad.

Teatada ainult, et rünnak ei mõjutanud digitaalse allkirja loomise võtmeid, ehitussüsteemi ja platvormi lähtekoodide — võtmed asusid hostidele, mis olid täielikult eraldatud põh infrastruktuurist, mida haldati läbi SaltStack, ning ehitused peatati tehnilistel põhjustel 30. aprillil. Lähtudes andmetest lehelt status.lineageos.org on arendajad juba taastanud koodi ülevaatusesüsteem Gerrit, veebisaidi ja wiki. Ooteolekus jääb ehituste server (builds.lineageos.org), failide allalaadimise portaal (download.lineageos.org), postiserverid ja peeglite koordineerimissüsteem.

Rünnak sai võimalikuks, kuna SaltStacki jaoks mõeldud võrguport (4506) ei olnud tulemas väliste päringute jaoks tulemüüriga – ründajal jäi oodata kriitilise haavatavuse ilmumist SaltStackis ja ära kasutada seda enne, kui administraatorid installisid parandusi sisaldava uuenduse. Kõikidele SaltStacki kasutajatele soovitatakse kiiresti oma süsteeme uuendada ja kontrollida võimalike ründe jälgede olemasolu.

Tundub, et rünnakud SaltStacki kaudu ei piirdunud ainult LineageOSi ründamisega ning said laialdase olemuse – päeva jooksul on erinevad kasutajad, kes ei jõudnud SaltStacki uuendada, toovad esile tuvastanud oma infrastruktuuride kompromiteerimise, kus serverites oli käivitatud kaevanduskood või tagaukse. Sealhulgas raporteeritakse sama tüüpi infrastruktuuri rünnaku kohta sisu haldamise süsteem Ghost, mis kätkeb Ghost(Pro) saite ja arveldamist (väidetavalt ei saanud krediitkaartide numbrid kahjustada, kuid kasutajate paroolide räsi võisid sattuda ründajate kätesse).

29. aprillil on välja antud SaltStacki platvormi uuendused 3000.2 ja 2019.2.4, milles on kõrvaldatud kaks haavatavust (infot haavatavuste kohta avaldati 30. aprillil), millele on antud kõrgeima taseme ohtlikkus, kuna need ei nõua autentimist. lubavad koodide kaugsete täitmine nii juhtimisse serveris (salt-master) kui ka kõigis hallatavates serverites.

• Esimene haavatavus (CVE-2020-11651) on põhjustatud ebapiisavatest kontrollidest ClearFuncsi klassi meetodite kutsumise ajal salt-masteris. Haavatavus võimaldab kaugel asuval kasutajal pääseda juurde teatud meetoditele ilma autentimiseta. Problemaatiliste meetodite kaudu võib ründaja saada juurõigustega juurdepääsutokeni master-serverile ja käivitada mingeid käske hallatavates hostides, kus töötab demon salt-minion. Parandust, mis kõrvaldab selle haavatavuse, pakuti avaldati 20 päeva tagasi, kuid pärast selle rakendamist ilmnesid regressiivsed muudatused, mis põhjustasid tõrkeid ja failide sünkroonimise rikkumist.
• Teine haavatavus (CVE-2020-11652) võimaldab ClearFunksi klassi manipuleerimise kaudu pääseda meetoditele, edastades teatud moodi vormitud teed, mis võib viia täieliku juurdepääsuni juhuslikele kataloogidele master-serveri failisüsteemis juurõigusega, kuid nõuab kinnitatud juurdepääsu (sellist juurdepääsu saab saada esimese haavatavuse kaudu ja kasutada teise haavatavuse ära kasutamiseks kogu infrastruktuuri kompromiteerimiseks).

Allikas: opennet.ru