LineageOS infrastruktuuri häkkimine SaltStacki haavatavuse kaudu

Mobiilse platvormi arendajad LineageOS, mis asendas CyanogenMod, hoiatas on avastanud märke projekti infrastruktuuri häkkimisest. Täheldatud on, et 3. mai hommikul kell 6 (MSK) õnnestus ründajal pääseda juurde kesksesse konfiguratsioonihaldussüsteemi serverisse SaltStack lahendamata haavatavuse kaudu. Praegu on juhtum uurimisel ja detailid pole veel saadaval.

Teadaolevalt ainult, et rünnak ei mõjutanud digitaalsete allkirjade genereerimise võtmeid, ehitussüsteemi ja platvormi lähtekoodi — võtmed olid serverites, mis olid täielikult eraldatud põhainfrastruktuurist, mida haldati läbi SaltStack, ning ehitused peatati tehniliste põhjuste tõttu 30. aprillil. Ainus teave lehe põhjal status.lineageos.org näitab, et arendajad on juba taastanud koodi ülevaatamise süsteemi Gerrit, veebisaidi ja wikki. Edasi jäävad välja lülitatud ehitusserver (builds.lineageos.org), failide allalaadimise portaal (download.lineageos.org), meiliserverid ja peegelduste koordineerimise süsteem.

Rünnak sai võimalikuks tänu sellele, et SaltStacki juurdepääsuks mõeldud võrgupordi (4506) ei olnud välistele päringutele blokeeritud tulemüüriga - ründajal tuli oodata kriitilise haavatavuse ilmnemist SaltStackis ja ära kasutada seda enne, kui administraatorid installivad paranduse. Kõik SaltStacki kasutajad peaksid oma süsteemid kiiresti uuendama ja kontrollima, kas on olemas märke häkkimisest.

Tundub, et rünnakud SaltStacki kaudu ei piirdunud LineageOS-i häkkimisega ja omandasid massilise iseloomu - päeva jooksul erinevad kasutajad, kes ei olnud SaltStacki uuendanud, märgib tuvastasid oma infrastruktuuri kompromiteerimise, paigaldades oma serveritesse kaevandamise või tagaukse jaoks mõeldud koodi. Sealhulgas teated sarnast häkkimist sisuhaldussüsteemi infrastruktuuris Ghost, mis mõjutas Ghost(Pro) saite ja arvetega seonduvat (väidetavalt ei olnud krediitkaardi numbred ohus, kuid Ghosti kasutajate paroolide räsi võis sattuda ründajate kätte).

29. aprillil olid välja antud SaltStacki platvormi uuendused 3000.2 ja 2019.2.4, milles kõrvaldati kaks haavatavust haavatavused (teave haavatavuste kohta avaldati 30. aprillil), mis said kõrgeima ohutaseme, kuna need lubavad autentimiseteta juurdepääsu koodide kaugkäitmine nii juhtimishostis (salt-master) kui ka kõikides selle kaudu hallatavates serverites.

• Esimene haavatavus (CVE-2020-11651) tuleneb piisavate kontrollide puudumisest ClearFuncs klassi meetodite kutsumise ajal salt-masteris. Haavatavus võimaldab kaugkasutajal pääseda teatud meetoditele juurde ilma autentimiseta. Problemaatiliste meetodite kaudu võib ründaja saada juurõigustega pääsutokeni master-serverisse ja käivitada igasuguseid käske hallatavates hostides, kus töötab daemon salt-minion. Tõrke parandav plaastrit rakendati avaldatud 20 päeva tagasi, kuid pärast selle kasutuselevõttu ilmnesid regressiivsed muudatused, mis viisid tõrgeteni ja failide sünkroonimise rikkumisteni.
• Teine haavatavus (CVE-2020-11652) võimaldab klassi ClearFuncs manipuleerimise kaudu pääseda meetoditele läbi teatud viisil vormistatud teede edastamise, mida saab kasutada täielikuks juurdepääsuks igaühele kaustadele mastеr-serveri failisüsteemis root õigustega, kuid see nõuab autentitud juurdepääsu (sellist juurdepääsu võib saada esimese haavatavuse kaudu ja kasutada teist haavatavust kogu infrastruktuuri täielikuks kompromiteerimiseks).

Allikas: opennet.ru