Vulnérabilité dans systemd-coredump permettant de déterminer le contenu mémoire des programmes suid

Une vulnérabilité a été identifiée dans le composant systemd-coredump, responsable du traitement des fichiers core générés après l'arrêt anormal de processus (CVE-2022-4415). Cette vulnérabilité permet à un utilisateur local non privilégié de déterminer le contenu de la mémoire de processus privilégiés exécutés avec le drapeau suid root. Il a été confirmé que le problème existe dans les distributions openSUSE, Arch, Debian, Fedora et SLES.

La vulnérabilité est due à un manque de traitement correct du paramètre sysctl fs.suid_dumpable dans systemd-coredump, qui, avec la valeur par défaut de 2, autorise la génération de core dumps pour les processus ayant le drapeau suid. Il est sous-entendu que les fichiers core des processus suid doivent avoir des permissions qui permettent uniquement à l'utilisateur root de les lire. L'outil systemd-coredump, qui est appelé par le noyau pour sauvegarder les fichiers core, enregistre le fichier core sous l'identifiant root, mais accorde également l'accès aux fichiers core basé sur les ACL, autorisant la lecture en fonction de l'identifiant de l'utilisateur qui a initialement lancé le processus.

Cette caractéristique permet de charger des fichiers core sans tenir compte du fait que le programme peut changer d'identifiant utilisateur et s'exécuter avec des privilèges élevés. L'attaque consiste à ce qu'un utilisateur puisse lancer une application suid et lui envoyer un signal SIGSEGV, puis charger le contenu du fichier core, qui inclut un instantané de la mémoire du processus au moment de l'arrêt anormal.

Par exemple, un utilisateur peut exécuter « /usr/bin/su » et dans un autre terminal, mettre fin à son exécution avec la commande « kill -s SIGSEGV `pidof su` », après quoi systemd-coredump sauvegardera le fichier core dans le répertoire /var/lib/systemd/coredump, en définissant un ACL permettant à l'utilisateur actuel de le lire. Puisque l'outil suid ‘su’ accède à la mémoire du contenu de /etc/shadow, l'attaquant peut obtenir des informations sur les hachages de mots de passe de tous les utilisateurs du système. L'outil sudo n'est pas vulnérable à cette attaque, car il interdit la génération de fichiers core via ulimit.

Selon les développeurs de systemd, la vulnérabilité apparaît à partir de la version 247 de systemd (novembre 2020), mais selon le chercheur ayant découvert le problème, la version 246 est également vulnérable. La vulnérabilité se manifeste lorsque systemd est compilé avec la bibliothèque libacl (qui est par défaut dans toutes les distributions populaires). Un correctif est actuellement disponible sous la forme d'un patch. On peut suivre l'application du correctif dans les distributions sur les pages suivantes : Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Gentoo, Arch. Comme solution de contournement pour la protection, il est possible de définir sysctl fs.suid_dumpable sur 0, désactivant ainsi l'envoi de coredumps au gestionnaire systemd-coredump.

Source : opennet.ru