{"id":103807,"date":"2022-04-17T21:36:41","date_gmt":"2022-04-17T19:36:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-swhkd-menedzhere-goryachih-klavish-dlya-wayland"},"modified":"2022-04-17T21:36:41","modified_gmt":"2022-04-17T19:36:41","slug":"uyazvimosti-v-swhkd-menedzhere-goryachih-klavish-dlya-wayland","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-swhkd-menedzhere-goryachih-klavish-dlya-wayland","title":{"rendered":"Vuln\u00e9rabilit\u00e9s dans swhkd, le gestionnaire de raccourcis pour Wayland","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans swhkd (Simple Wayland HotKey Daemon), caus\u00e9es par une mauvaise gestion des fichiers temporaires, des param\u00e8tres de ligne de commande et des sockets Unix. Le programme, \u00e9crit en Rust, g\u00e8re les pressions des touches de raccourci dans des environnements bas\u00e9s sur le protocole Wayland (similaire au processus sxhkd utilis\u00e9 dans les environnements bas\u00e9s sur X11 au niveau des fichiers de configuration). <\/p>\n
Le paquet comprend un processus non privil\u00e9gi\u00e9 swhks, qui ex\u00e9cute des actions pour les touches de raccourci, et un processus en arri\u00e8re-plan swhkd, ex\u00e9cut\u00e9 avec des droits root et interagissant avec les dispositifs d'entr\u00e9e au niveau de l'API uinput. Un socket Unix est utilis\u00e9 pour organiser l'interaction entre swhks et swhkd. Gr\u00e2ce aux r\u00e8gles de Polkit, tout utilisateur local peut d\u00e9marrer le processus \/usr\/bin\/swhkd avec des droits root et lui transmettre des param\u00e8tres arbitraires. <\/p>\n
CVE-2022-27815 \u2014 sauvegarde du PID du processus dans un fichier avec un nom pr\u00e9visible et dans un r\u00e9pertoire accessible en \u00e9criture par d'autres utilisateurs (\/tmp\/swhkd.pid). Tout utilisateur peut cr\u00e9er le fichier \/tmp\/swhkd.pid et y placer le PID d'un processus existant, ce qui emp\u00eachera le d\u00e9marrage de swhkd. En l'absence de protections contre la cr\u00e9ation de liens symboliques dans \/tmp, la vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour cr\u00e9er ou \u00e9craser des fichiers dans n'importe quel r\u00e9pertoire syst\u00e8me (le PID est enregistr\u00e9 dans le fichier) ou pour lire le contenu de n'importe quel fichier du syst\u00e8me (swhkd affiche dans stdout tout le contenu du fichier PID). Il est \u00e0 noter que dans le correctif publi\u00e9, le fichier PID a \u00e9t\u00e9 d\u00e9plac\u00e9 non pas dans le r\u00e9pertoire \/run, mais dans le r\u00e9pertoire \/etc (\/etc\/swhkd\/runtime\/swhkd_{uid}.pid), o\u00f9 il n'aurait \u00e9galement pas d\u00fb se trouver.\n
CVE-2022-27814 \u2014 en manipulant le param\u00e8tre de ligne de commande \u00ab -c \u00bb, utilis\u00e9 pour sp\u00e9cifier le fichier de configuration, il est possible de d\u00e9terminer l'existence de n'importe quel fichier dans le syst\u00e8me. Par exemple, pour v\u00e9rifier \/root\/.somefile, on peut ex\u00e9cuter \u00ab pkexec \/usr\/bin\/swhkd -d -c \/root\/.somefile \u00bb et si le fichier est absent, une erreur \u00ab \/root\/.somefile doesn\u2019t exist \u00bb sera affich\u00e9e. Comme dans le cas de la premi\u00e8re vuln\u00e9rabilit\u00e9, le correctif soul\u00e8ve des interrogations \u2014 la solution au probl\u00e8me consiste \u00e0 ce que la lecture du fichier de configuration soit d\u00e9sormais effectu\u00e9e par un utilitaire externe \u00ab cat \u00bb (\u2018Command::new(\u2018\/bin\/cat\u2019).arg(path).output()\u2019).\n
CVE-2022-27819 \u2014 le probl\u00e8me est \u00e9galement li\u00e9 \u00e0 l'utilisation de l'option \u00ab -c \u00bb, par laquelle le fichier de configuration est enti\u00e8rement charg\u00e9 et analys\u00e9 sans v\u00e9rification de la taille et du type de fichier. Par exemple, pour provoquer un d\u00e9ni de service en \u00e9puisant la m\u00e9moire disponible et en cr\u00e9ant une entr\u00e9e\/sortie parasite, on peut sp\u00e9cifier lors du d\u00e9marrage un p\u00e9riph\u00e9rique bloc\u00e9 (\u00ab pkexec \/usr\/bin\/swhkd -d -c \/dev\/sda \u00bb) ou un appareil caract\u00e9ristique qui g\u00e9n\u00e8re un flux de donn\u00e9es infini. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu en r\u00e9tablissant les privil\u00e8ges avant d'ouvrir le fichier, mais la solution s'est av\u00e9r\u00e9e incompl\u00e8te, car seul l'identifiant utilisateur (UID) est r\u00e9initialis\u00e9, tandis que l'identifiant de groupe (GID) reste inchang\u00e9.\n
CVE-2022-27818 \u2014 un fichier \/tmp\/swhkd.sock est utilis\u00e9 pour cr\u00e9er un socket Unix, cr\u00e9\u00e9 dans un r\u00e9pertoire public et accessible en \u00e9criture, ce qui entra\u00eene des probl\u00e8mes similaires \u00e0 la premi\u00e8re vuln\u00e9rabilit\u00e9 (tout utilisateur peut cr\u00e9er \/tmp\/swhkd.sock et g\u00e9n\u00e9rer ou intercepter des \u00e9v\u00e9nements de pression de touches).\n
CVE-2022-27817 \u2014 les \u00e9v\u00e9nements d'entr\u00e9e sont accept\u00e9s de tous les appareils et dans toutes les sessions, c'est-\u00e0-dire qu'un utilisateur d'une autre session Wayland ou de la console peut intercepter des \u00e9v\u00e9nements lors de l'utilisation de touches de raccourci par d'autres utilisateurs.\n
CVE-2022-27816 \u2014 le processus swhks, tout comme swhkd, utilise un fichier PID \/tmp\/swhks.pid dans un r\u00e9pertoire \/tmp accessible en \u00e9criture. Le probl\u00e8me est similaire \u00e0 la premi\u00e8re vuln\u00e9rabilit\u00e9, mais moins dangereux, car swhks s'ex\u00e9cute sous un utilisateur non privil\u00e9gi\u00e9. <\/ul>\n