Qualys teatas kolmandast t\u00f5sise haavatavusest (CVE-2022-3328) snap-confine utiliidis, mis on pakitud SUID root lipuga ja mida snapd protsess kutsub esile, et luua t\u00e4idesaatvat keskkonda iseseisvates snap-formaadis rakendustes. Haavatavus v\u00f5imaldab kohalikul mitteprivilegeeritud kasutajal saada root-\u00f5igusi Ubuntu vaikekonfiguratsioonis. Probleem on lahendatud snapd 2.57.6 versioonis. Paketiuuendused on v\u00e4lja antud k\u00f5igile toetatud Ubuntu harudele. <\/p>\n
Huvitav on, et arutletav haavatavus lisati sarnase veebruarikuu haavatavuse parandamise k\u00e4igus snap-confine-s. Uurijatel \u00f5nnestus luua t\u00f6\u00f6tav eksploit, mis annab root-juurdep\u00e4\u00e4su Ubuntu Server 22.04, kus lisaks snap-confine haavatavusele on seotud kaks haavatavust multipathd protsessis (CVE-2022-41974, CVE-2022-41973), mis on seotud privileegide kontrollimise \u00fcmberl\u00fckkamise ja s\u00fcmboolsete linkidega t\u00f6\u00f6tamisega, mis ei ole turvaline. <\/p>\n
Snap-confine haavatavus tuleneb v\u00f5istlusolukorrast funktsioonis must_mkdir_and_open_with_perms(), mis lisati selleks, et kaitsta kausta \/tmp\/snap.$SNAP_NAME s\u00fcmboolse lingi asendamise eest p\u00e4rast omaniku kontrollimist, kuid enne s\u00fcsteemi k\u00f5ne kutsumist mount, et bind-mountida paketi snap-formaadis katalooge sinna. Lisatud kaitse koosnes \/tmp\/snap.$SNAP_NAME kataloogi \u00fcmbernimetamisest teiseks kataloogiks \/tmp-s, mille nimi on juhuslik, kui see eksisteerib ja ei kuulu root kasutajale. <\/p>\n
Katalooge \u00fcmbernimetamise k\u00e4igus \/tmp\/snap.$SNAP_NAME kasutasid uurijad selle \u00e4ra, et snap-confine loob ka katalooge \/tmp\/snap.rootfs_XXXXXX paketi sisu juur. Osa «XXXXXX» nimes valitakse juhuslikult mkdtemp() abil, kuid pakett nimega «rootfs_XXXXXX» v\u00f5ib l\u00e4bida kontrolli funktsioonis sc_instance_name_validate (st idee on see, et $SNAP_NAME nimi omaks v\u00e4\u00e4rtust «rootfs_XXXXXX» ja siis toob \u00fcmbernimetamise operatsioon kaasa katalooge \/tmp\/snap.rootfs_XXXXXX, mis on snap juur). <\/p>\n
Selleks, et saavutada samaaegne kasutamine \/tmp\/snap.rootfs_XXXXXX ja \u00fcmbernimetamine \/tmp\/snap.$SNAP_NAME, k\u00e4ivitati kaks eksemplari snap-confine'ist. Niipea kui esimene eksemplar l\u00f5i \/tmp\/snap.rootfs_XXXXXX, lukustus protsess ja k\u00e4ivitati teine eksemplar nimega rootfs_XXXXXX, mis t\u00f5i kaasa selle, et teise eksemplari ajutine kataloog \/tmp\/snap.$SNAP_NAME muutus esimese \/tmp\/snap.rootfs_XXXXXX juurkataloogiks. Kohe p\u00e4rast \u00fcmbernimetamist l\u00f5petas teine eksemplar t\u00f6\u00f6 ning \/tmp\/snap.rootfs_XXXXXX asendati olukorra v\u00f5istluse manipuleerimisega, nagu veebruarikuises haavatavuses. P\u00e4rast asendamist vabastati esimese eksemplari t\u00f6\u00f6 ning r\u00fcndajad said t\u00e4ieliku kontrolli snap'i juurkatalooge \u00fcle. <\/p>\n
Viimasel etapil loodi s\u00fcmboolne link \/tmp\/snap.rootfs_XXXXXX\/tmp, mida funktsioon sc_bootstrap_mount_namespace() kasutas, et bind-monteerida kirjutamiseks saadaval t\u00f5eline kataloog \/tmp igasse FS katalooge, kuna mount() funktsioon j\u00e4rgib s\u00fcmboolseid linke enne montaa\u017ei. Selline monteerimine blokeeritakse AppArmori piirangutega, kuid selle blokeeringu m\u00f6\u00f6da hiilimiseks kasutati eksploitis kahte abiviga multipathd-s. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"