{"id":125693,"date":"2025-05-30T15:06:05","date_gmt":"2025-05-30T13:06:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-apport-i-systemd-coredump-pozvolyayushhie-izvlech-heshi-parolej-polzovatelej-sistemy"},"modified":"2025-05-30T15:06:05","modified_gmt":"2025-05-30T13:06:05","slug":"uyazvimosti-v-apport-i-systemd-coredump-pozvolyayushhie-izvlech-heshi-parolej-polzovatelej-sistemy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/uyazvimosti-v-apport-i-systemd-coredump-pozvolyayushhie-izvlech-heshi-parolej-polzovatelej-sistemy","title":{"rendered":"Vulnerabilities in apport and systemd-coredump, allowing extraction of user system password hashes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Qualys avastas kaks haavatavust apport (CVE-2025-5054) ja systemd-coredump (CVE-2025-4598) t\u00f6\u00f6riistades, mis on m\u00f5eldud core-failide t\u00f6\u00f6tlemiseks, mis genereeritakse p\u00e4rast protsesside ootamatut l\u00f5petamist. Haavatavused v\u00f5imaldavad p\u00e4\u00e4seda juurde core-failidele, mis on salvestatud p\u00e4rast suid-rakenduste v\u00f5i m\u00f5nede s\u00fcsteemsete taustprotsesside ootamatut l\u00f5petamist, mille m\u00e4lu v\u00f5ib sisaldada vahem\u00e4llu salvestatud mandaate v\u00f5i kr\u00fcpteerimisv\u00f5tmeid. Utility apport kutsutakse automaatselt Ubuntu-s core-dump'ide salvestamiseks, samas kui systemd-coredump on kasutusel Red Hat Enterprise Linux 9+, Fedora ja paljude teiste Linuxi distributsioonide puhul. <\/p>\n
Kuvati r\u00fcnnetehnika, mille k\u00e4igus loodud tingimustes viidi suid-rakenduse unix_chkpwd ootamatuks l\u00f5petamiseks ja p\u00e4\u00e4seti juurde core-failile, mis sisaldas seisundi dumpi avarii ajal. Salvestatud core-dumpis olid s\u00fcsteemi kasutajate paroolide hashid, mis j\u00e4id ootamatult l\u00f5petatud protsessi m\u00e4llu p\u00e4rast sisu laadimist \/etc\/shadow failist. Haavatavuste \u00e4rakasutamise v\u00f5imalust demonstreeriti Ubuntu 24.04 ja Fedora 40\/41 puhul, kuid arvatakse, et ka teised distributsioonid on sarnaste r\u00fcnnakute suhtes vastuv\u00f5tlikud. <\/p>\n
M\u00f5lemad haavatavused on p\u00f5hjustatud jooksva oleku \u00e4rakasutamise v\u00f5imalusest, mis v\u00f5imaldab vahetada ootamatult l\u00f5petatud suid-protsessi teise protsessi vastu vahetult peale seda, kui tuum on algatavane avariiprosesside t\u00f6\u00f6tlemiseks, kuid enne, kui kasutaja ruumi k\u00e4sitleja kontrollib protsessi parameetreid \/proc\/pid\/files kaudu. Apport ja systemd-coredump kutsutakse \u00fcles j\u00e4rgmiselt: tuum, saades teavet protsessi l\u00f5petamisest, kutsub v\u00e4lja k\u00e4sitleja, mille on m\u00e4\u00e4ranud failis \/proc\/sys\/kernel\/core_pattern, ja edastab sellele core-dump'i sisu sissevoolu kaudu. <\/p>\n
Core-dumpi genereerimine ja k\u00e4sitleja k\u00e4ivitamine ei toimu hetkega ja see aeg on piisav, et asendada l\u00f5petatud suid-protsess tavalise kasutaja protsessiga. Juhul kui asendamine toimub, arvab k\u00e4ivitunud core-dumpide k\u00e4itleja, et rike toimus mitte suid-protsessis, vaid tavalises kasutaja rakenduses, ja seega salvestab core-faili, millele p\u00e4\u00e4seb ligi tavaline kasutaja, mitte ainult administraator. <\/p>\n
Loob uus protsess ja kutsub v\u00e4lja execve() funktsiooni suid-programmi k\u00e4ivitamiseks, nagu unix_chkpwd.\n
J\u00e4tab piisavalt aega suid-protsessil konfidentsiaalsete andmete m\u00e4lu laadimiseks (unix_chkpwd puhul eeldatakse, et laetakse kasutajate paroolide hashid failist \/etc\/shadow).\n
Reaktsioonina ootamatule l\u00f5petamisele genereerib tuum core-dump'i ja k\u00e4ivitab apporti protsessi core-dump'i t\u00f6\u00f6tlemiseks kasutaja ruumis.\n
P\u00e4rast apporti k\u00e4ivitamist, kuid enne korrap\u00e4rase t\u00f6\u00f6 alustamist saadetakse signaal SIGKILL ning protsess asendatakse teisega, millel pole suid-lippu. Et v\u00e4ltida kontrolle apportis, luuakse uus protsess eri nimed ruumides (kasutaja, pid ja mount nimede ruumides).\n
Apport \u00fchendub unix-soketiga \/run\/apport.socket loodud uue protsessi m\u00e4lum\u00e4lu nimedega ja edastab failide deskriptorid, et p\u00e4\u00e4seda juurde core-dump'ile. <\/ul>\n
Et uue protsessi jaoks vajalik identifikaator vastaks suid-protsessi identifikaatorile, peatatakse suid-protsess signaaliga SIGSTOP enne SIGSEGV signaali edastamist ja peatamise ajal kuvavad uued protsessid, kuni saavutatakse PID, mis on eelneva numbriga sarnane asendatavale suid-protsessile. P\u00e4rast PID numbrite nihutamist saadetakse suid-protsessile signaalid SIGSEGV ja SIGCONT, seej\u00e4rel saadetakse SIGKILL ning uued protsessid k\u00e4ivituvad pidevalt, et saavutada sama PID, mis suid-protsessil. <\/p>\n
Mis puutub systemd-coredumpi, siis \u00fchel poolt on selle peale r\u00fcnnaku sooritamine lihtsam, kuna pole vaja asendada suid-protsessi eraldi kasutaja ruumis oleva protsessiga, vaid piisab, kui saavutada AT_UID ja AT_EUID kokkulangevus. Teiselt poolt on systemd-coredump kirjutatud C keeles ja k\u00e4ivitub \u00fcsna kiiresti, mis annab v\u00e4hem aega asendamiseks, erinevalt apportist, mis on kirjutatud Pythonis ja laadib alguse jooksul erinevaid pyc-faile. Sarnane probleem saab lahendatud systemd-coredump'i kunstliku aeglustamisega \u2014 suid-faili kutsumise ajal edastatakse v\u00e4ga suur hulk k\u00e4suridade argumente, mis loob vajaliku viivituse, mis tekib \/proc\/pid\/cmdline t\u00f5lgendamise ajal. <\/p>\n
Ohtude anal\u00fc\u00fcsi k\u00e4igus avastasid uurijad ka, et systemd-coredump kutsumise seadistamisel ei m\u00e4\u00e4ra \/proc\/sys\/kernel\/core_pattern parameetrit \u201e%d\u201d, mis v\u00f5imaldab r\u00fcndajal kutsuda esile taustaprotsesside eba\u00f5nnestumise, mis t\u00f6\u00f6tavad root \u00f5igustes ja k\u00e4ivitavad teisi protsesse, muutes kasutaja ID-d privileegideta kasutajaks, kelle all r\u00fcnnak toimub. Selline v\u00f5imalus v\u00f5imaldab r\u00fcnnata mitte ainult setuid-rakendusi, vaid ka selliseid protsesse nagu sshd-session (OpenSSH), sd-pam (systemd) ja cron, et hankida neis m\u00e4lus olevaid konfidentsiaalseid andmeid, nagu privaatv\u00f5tmed, paroolide hash'id \/etc\/shadow-st, kanarim\u00e4rgid m\u00e4lust ja andmed, et m\u00f6\u00f6duda aadressiruumi randomiseerimise (ASLR) t\u00f5kkest. <\/p>\n
Pakettide v\u00e4rskenduste avaldamise j\u00e4lgimine distsipliinides on v\u00f5imalik lehek\u00fclgedelt: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, Arch. Haavatavuste blokeerimise ajutiseks lahenduseks soovitatakse keelata core-\u00e4ri j\u00e4\u00e4kide salvestamine suid-programmide ja \u00f5iguste v\u00e4hendamise protsesside jaoks, seadistades parameeter \\\/proc\\\/sys\\\/fs\\\/suid_dumpable v\u00e4\u00e4rtuseks 0. Probleemi t\u00e4ielikuks lahendamiseks on vajalik muudatused Linuxi tuumas, mis v\u00f5imaldavad edastada infot kokkuvarisenud protsessi kohta pidfd-mekanismi kaudu (pidfd seondub konkreetsete protsessidega ja erinevalt pid-ist ei m\u00e4\u00e4rata teda uuesti). \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"