Qualys avastas kaks haavatavust (CVE-2021-44731, CVE-2021-44730) snap-confine utiliidis, mis tarnitakse SUID root t\u00e4hisega ja mida snapd protsess kutsub v\u00e4lja rakenduste t\u00e4itmisoleku loomiseks, mis tarnitakse iseseisvates snap-pakettides. Need haavatavused v\u00f5imaldavad kohalikul, privileegide puudumisega kasutajal saavutada s\u00fcsteemis root-\u00f5iguste t\u00e4itmise. Probleemid on lahendatud t\u00e4nases snapd paketihalduri uuenduses Ubuntu 21.10, 20.04 ja 18.04 jaoks. <\/p>\n
Esimene haavatavus (CVE-2021-44730) v\u00f5imaldab r\u00fcnnakut, manipuleerides k\u00f5vakettaliideseid, kuid see eeldab k\u00f5vakettaliideste s\u00fcsteemi kaitse keelamist (sysctl fs.protected_hardlinks seadistamine v\u00e4\u00e4rtusele 0). Probleem tuleneb vale kontrollimisest snap-update-ns ja snap-discard-ns abi programmide t\u00e4itmise failide asukohtade osas, mis k\u00e4ivitatakse root-\u00f5igustega. Nende failide teed arvutatakse funktsioonis sc_open_snapd_tool() oma teest \/proc\/self\/exe, mis v\u00f5imaldab luua k\u00f5vakettaliidese snap-confine oma katalooge ja paigutada sellesse katalooge oma variante utiliite snap-update-ns ja snap-discard-ns. P\u00e4rast k\u00f5vakettaliidese kaudu snap-confine k\u00e4ivitamist root-\u00f5igustega k\u00e4ivitab see r\u00fcndaja m\u00e4\u00e4ratud kataloogist failid snap-update-ns ja snap-discard-ns. <\/p>\n
Teine haavatavus tuleneb v\u00f5istlusolukorrast ja seda saab \u00e4ra kasutada vaikimisi Ubuntu Desktop konfigureerimisel. Ubuntu Serveris n\u00f5uab eksploiteerimine installeerimisel \u00fche paketi valimist jaotises «Featured Server Snaps». V\u00f5istlusolukord ilmneb funktsioonis setup_private_mount(), mis kutsutakse esile paketi snap montaa\u017eikohtade nimede ettevalmistamise k\u00e4igus. See funktsioon loob ajutise katalooge «\/tmp\/snap.$SNAP_NAME\/tmp» v\u00f5i kasutab juba olemasolevat bind-montaa\u017eiks sellele paketi katalogile snapi formaadis. <\/p>\n
Kuna ajutise katalooge nimi on ennustatav, saab r\u00fcndaja selle sisu asendada s\u00fcmboolse lingiga p\u00e4rast omaniku kontrollimist, kuid enne s\u00fcsteemikutsumise mount. N\u00e4iteks v\u00f5ib luua kataloogis \/tmp\/snap.lxd s\u00fcmboolse lingi «\/tmp\/snap.lxd\/tmp», mis osutab suvalisele kataloogile, ja mount() kutse j\u00e4rgneb s\u00fcmboolsele lingile ja monteerib katalooge snap nimede ruumis. Sarnaselt saab monteerida oma sisu \/var\/lib ja asendada \/var\/lib\/snapd\/mount\/snap.snap-store.user-fstab, et korraldada oma katalooge \/etc monteerimist snap-paketi nimede ruumis, et laadida oma teegi \u00f5igustega root l\u00e4bi asenduse \/etc\/ld.so.preload. <\/p>\n
Tuleb m\u00e4rkida, et eksploitimise loomine osutus mitte triviaalseks \u00fclesandeks, kuna utiliit snap-confine on kirjutatud Go keeles, kasutades turvalise programmeerimise meetodeid, omab AppArmori profiilide p\u00f5hist kaitset, filtreerib s\u00fcsteemik\u00f5nesid seccomp mehhanismi p\u00f5hjal ning rakendab mountimiseks nimede ruumi isolatsiooni. Siiski \u00f5nnestus teadlastel valmistada ette t\u00f6\u00f6tav eksploit, et saavutada root \u00f5igused s\u00fcsteemis. Eksplooit kood avaldatakse n\u00e4dalate p\u00e4rast, p\u00e4rast seda kui kasutajad on installinud antud uuendused. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"