{"id":103374,"date":"2022-02-18T03:37:22","date_gmt":"2022-02-18T01:37:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap"},"modified":"2022-02-18T03:37:22","modified_gmt":"2022-02-18T01:37:22","slug":"lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","title":{"rendered":"Vuln\u00e9rabilit\u00e9s root locales dans l'outil de gestion de paquets Snap","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'entreprise Qualys a d\u00e9couvert deux vuln\u00e9rabilit\u00e9s (CVE-2021-44731, CVE-2021-44730) dans l'outil snap-confine, livr\u00e9 avec le drapeau SUID root et appel\u00e9 par le processus snapd pour cr\u00e9er un environnement d'ex\u00e9cution pour les applications fournies dans des paquets autonomes au format snap. Les vuln\u00e9rabilit\u00e9s permettent \u00e0 un utilisateur local non privil\u00e9gi\u00e9 d'ex\u00e9cuter du code avec les droits root sur le syst\u00e8me. Les probl\u00e8mes ont \u00e9t\u00e9 corrig\u00e9s dans la mise \u00e0 jour d'aujourd'hui des paquets snapd pour Ubuntu 21.10, 20.04 et 18.04. <\/p>\n
La premi\u00e8re vuln\u00e9rabilit\u00e9 (CVE-2021-44730) permet une attaque via la manipulation de liens durs, mais n\u00e9cessite de d\u00e9sactiver la protection syst\u00e8me des liens durs (en d\u00e9finissant sysctl fs.protected_hardlinks sur 0). Le probl\u00e8me provient d'une v\u00e9rification incorrecte de l'emplacement des ex\u00e9cutables des programmes auxiliaires snap-update-ns et snap-discard-ns, ex\u00e9cut\u00e9s avec des droits root. Le chemin vers ces fichiers \u00e9tait calcul\u00e9 dans la fonction sc_open_snapd_tool() en fonction de son propre chemin depuis \/proc\/self\/exe, ce qui permet de cr\u00e9er un lien dur vers snap-confine dans son propre r\u00e9pertoire et d'y placer ses propres versions des utilitaires snap-update-ns et snap-discard-ns. Apr\u00e8s avoir ex\u00e9cut\u00e9 snap-confine via le lien dur, il lancera dans le r\u00e9pertoire actuel les fichiers snap-update-ns et snap-discard-ns fournis par l'attaquant avec les droits root. <\/p>\n
La deuxi\u00e8me vuln\u00e9rabilit\u00e9 est caus\u00e9e par un \u00e9tat de concurrence et peut \u00eatre exploit\u00e9e dans la configuration par d\u00e9faut d'Ubuntu Desktop. Pour que l'exploit fonctionne correctement sur Ubuntu Server, il est n\u00e9cessaire de choisir l'un des packages de la section \u00ab Featured Server Snaps \u00bb lors de l'installation. L'\u00e9tat de concurrence se manifeste dans la fonction setup_private_mount(), appel\u00e9e lors de la pr\u00e9paration de l'espace des points de montage pour le package snap. Cette fonction cr\u00e9e un r\u00e9pertoire temporaire \u00ab \/tmp\/snap.$SNAP_NAME\/tmp \u00bb ou utilise un r\u00e9pertoire existant pour le montage bind des r\u00e9pertoires pour le package au format snap. <\/p>\n
\u00c9tant donn\u00e9 que le nom du r\u00e9pertoire temporaire est pr\u00e9visible, un attaquant peut remplacer son contenu par un lien symbolique apr\u00e8s la v\u00e9rification du propri\u00e9taire, mais avant l'appel syst\u00e8me mount. Par exemple, il est possible de cr\u00e9er dans le r\u00e9pertoire \/tmp\/snap.lxd un lien symbolique \u00ab \/tmp\/snap.lxd\/tmp \u00bb pointant vers un r\u00e9pertoire arbitraire, et l'appel de mount() suivra le lien symbolique et montera le r\u00e9pertoire dans l'espace de noms snap. De cette mani\u00e8re, il est possible de monter son propre contenu dans \/var\/lib et, en rempla\u00e7ant \/var\/lib\/snapd\/mount\/snap.snap-store.user-fstab, d'organiser le montage de son r\u00e9pertoire \/etc dans l'espace de noms du package snap pour charger sa biblioth\u00e8que avec des droits root en rempla\u00e7ant \/etc\/ld.so.preload. <\/p>\n
Il est not\u00e9 que la cr\u00e9ation d'un exploit s'est av\u00e9r\u00e9e \u00eatre une t\u00e2che non triviale, car l'outil snap-confine est \u00e9crit en Go en utilisant des techniques de programmation s\u00fbres, poss\u00e8de une protection bas\u00e9e sur des profils AppArmor, filtre les appels syst\u00e8me \u00e0 l'aide du m\u00e9canisme seccomp, et utilise des espaces de noms pour le montage. N\u00e9anmoins, les chercheurs ont r\u00e9ussi \u00e0 pr\u00e9parer un exploit fonctionnel pour obtenir des droits root dans le syst\u00e8me. Le code de l'exploit sera publi\u00e9 dans quelques semaines, apr\u00e8s que les utilisateurs auront install\u00e9 les mises \u00e0 jour fournies. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"