{"id":103885,"date":"2022-04-27T15:36:48","date_gmt":"2022-04-27T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root"},"modified":"2022-04-27T15:36:48","modified_gmt":"2022-04-27T13:36:49","slug":"uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root","title":{"rendered":"Vuln\u00e9rabilit\u00e9s dans networkd-dispatcher permettant d'obtenir des droits root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les chercheurs en s\u00e9curit\u00e9 de Microsoft ont d\u00e9couvert deux vuln\u00e9rabilit\u00e9s (CVE-2022-29799, CVE-2022-29800) dans le service networkd-dispatcher, nomm\u00e9es Nimbuspwn, permettant \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'ex\u00e9cuter des commandes arbitraires avec des droits root. Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans la version 2.2 de networkd-dispatcher. Il n'y a pas encore d'informations sur la publication des mises \u00e0 jour par les distributions (Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux). <\/p>\n

Networkd-dispatcher est utilis\u00e9 dans de nombreuses distributions Linux, y compris Ubuntu, qui utilise un processus de fond systemd-networkd pour configurer les param\u00e8tres r\u00e9seau, et ex\u00e9cute des fonctions similaires \u00e0 NetworkManager-dispatcher, c'est-\u00e0-dire qu'il lance des scripts lors du changement de l'\u00e9tat de la connexion r\u00e9seau, par exemple, il est utilis\u00e9 pour le d\u00e9marrage VPN<\/a> apr\u00e8s l'\u00e9tablissement de la connexion r\u00e9seau principale. <\/p>\n

Le processus de fond associ\u00e9 \u00e0 networkd-dispatcher s'ex\u00e9cute avec des droits root et re\u00e7oit des signaux d'\u00e9v\u00e9nements via le bus D-Bus. Les informations sur les \u00e9v\u00e9nements li\u00e9s aux changements d'\u00e9tat des connexions r\u00e9seau sont envoy\u00e9es par le service systemd-networkd. Le probl\u00e8me est que les utilisateurs non privil\u00e9gi\u00e9s peuvent g\u00e9n\u00e9rer un \u00e9v\u00e9nement pour un \u00e9tat inexistant et initier le lancement de leur propre script, qui sera ex\u00e9cut\u00e9 avec des droits root. <\/p>\n

Systemd-networkd est con\u00e7u pour ex\u00e9cuter uniquement des scripts-gestionnaires syst\u00e8me, plac\u00e9s dans le r\u00e9pertoire \/etc\/networkd-dispatcher et non modifiables par l'utilisateur, mais en raison d'une vuln\u00e9rabilit\u00e9 (CVE-2022-29799) dans le code de traitement des chemins de fichiers, il \u00e9tait possible de sortir du r\u00e9pertoire de base et d'ex\u00e9cuter des scripts arbitraires. En particulier, lors de la formation du chemin d'acc\u00e8s au script, les valeurs OperationalState et AdministrativeState transmises via D-Bus \u00e9taient utilis\u00e9es sans nettoyage des caract\u00e8res sp\u00e9ciaux. Un attaquant pouvait g\u00e9n\u00e9rer son propre \u00e9tat, dont le nom contenait des caract\u00e8res \u00ab ..\/ \u00bb et rediriger l'appel de networkd-dispatcher vers un autre r\u00e9pertoire. <\/p>\n

La seconde vuln\u00e9rabilit\u00e9 (CVE-2022-29800) est li\u00e9e \u00e0 un \u00e9tat de course \u2014 entre la v\u00e9rification des param\u00e8tres du script (appartenance \u00e0 root) et son ex\u00e9cution, il y avait un court laps de temps suffisant pour remplacer le fichier et contourner la v\u00e9rification de l'appartenance du script \u00e0 l'utilisateur root. De plus, networkd-dispatcher ne v\u00e9rifiait pas les liens symboliques, y compris lors de l'ex\u00e9cution de scripts via un appel \u00e0 subprocess.Popen, ce qui a consid\u00e9rablement simplifi\u00e9 l'organisation de l'attaque. <\/p>\n

Technique d'exploitation : <\/p>\n