Qualys avastas kaks haavatavust (CVE-2021-44731, CVE-2021-44730) snap-confine utiliidis, mis on tarnitud SUID rooti lipuga ja kutsutakse v\u00e4lja snapd protsessi poolt, et moodustada t\u00e4itmislood keskkond rakendustele, mis on tarnitud iseseisvates pakettides snap formaadis. Haavatavused v\u00f5imaldavad kohalikul mitteprivileegitud kasutajal saavutada koodi t\u00e4itmise \u00f5igustega root s\u00fcsteemis. Probleemid on k\u00f5rvaldatud t\u00e4na v\u00e4lja antud snapd pakettide uuenduses Ubuntu 21.10, 20.04 ja 18.04 jaoks. <\/p>\n
Esimene haavatavus (CVE-2021-44730) v\u00f5imaldab r\u00fcnnata k\u00f5vade linkide manipuleerimise kaudu, kuid n\u00f5uab s\u00fcsteemi kaitse k\u00f5vade linkide v\u00e4lja l\u00fclitamist (sysctl fs.protected_hardlinks seadistamine v\u00e4\u00e4rtusele 0). Probleem tuleneb vale kontrolli poole teostamisest Snapi abiprogrammide snap-update-ns ja snap-discard-ns asukoha osas, mis k\u00e4ivitatakse root \u00f5igustes. Nende failide tee arvutati funktsioonis sc_open_snapd_tool() praegusest teest \/proc\/self\/exe, mis v\u00f5imaldab luua k\u00f5va lingi snap-confine'i oma katalooge ja paigutada sellesse katalooge enda versioonid utiliitidest snap-update-ns ja snap-discard-ns. P\u00e4rast k\u00f5va lingi kasutamist k\u00e4ivitab snap-confine root \u00f5igustes praegusest kataloogist r\u00fcndaja esitatud snap-update-ns ja snap-discard-ns failid. <\/p>\n
Teine haavatavus on tingitud v\u00f5istlusolukorrast ja seda saab \u00e4ra kasutada vaikimisi Ubuntu Desktopi konfiguratsioonis. Eduka ekspluateerimise jaoks Ubuntu Serveris on installimise ajal vajalik valida \u00fcks pakett sektsioonist «Featured Server Snaps». V\u00f5istlusolukord ilmneb funktsioonis setup_private_mount(), mida kutsutakse \u00fcles m\u00e4hkmete monteerimiskohaks valmistumise ajal snap-paketi jaoks. See funktsioon loob ajutise katalooge «\/tmp\/snap.$SNAP_NAME\/tmp» v\u00f5i kasutab juba olemasolevat bind-monteerimiseks paketi kataloogide jaoks, mis on snap-formaadis. <\/p>\n
Kuna ajutise katalooge nimi on etten\u00e4htav, saab r\u00fcndaja selle sisu asendada s\u00fcmboolse lingiga kohe p\u00e4rast omaniku kontrollimist, kuid enne mount s\u00fcsteemikutsungi sooritamist. N\u00e4iteks saab kataloogis \/tmp\/snap.lxd luua s\u00fcmboolse lingi «\/tmp\/snap.lxd\/tmp», mis osutab meelevaldsele kataloogile, ja mount() kutse j\u00e4rgneb s\u00fcmboolsele lingile, monteerides katalooge snap nimetes. Sarnasel viisil saab enda sisu monteerida \/var\/lib ja asendades \/var\/lib\/snapd\/mount\/snap.snap-store.user-fstab korraldada enda katalooge \/etc monteerimist snap-paketi nimetes, et laadida enda teeki root-re\u017eiimis asendades \/etc\/ld.so.preload. <\/p>\n
Teatatakse, et eksploitide loomine osutus keeruliseks \u00fclesandeks, kuna utiliit snap-confine on kirjutatud Go keeles, kasutades turvalise programmeerimise tehnikaid, ja sellel on AppArmori p\u00f5hine kaitse, mis teeb s\u00fcsteemikutsungite filtreerimist seccomp'i mehhanismi abil, ja rakendab isolatsiooni mount'imisruumi namespace. Kuigi siiski suutsid uurijad valmistada t\u00f6\u00f6v\u00f5imetava eksploiti, et omandada root \u00f5igused s\u00fcsteemis. Eksploiti kood avaldatakse paar n\u00e4dalat p\u00e4rast seda, kui kasutajad on installeerinud antud v\u00e4rskendused. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"