La soci\u00e9t\u00e9 Qualys a d\u00e9couvert une troisi\u00e8me vuln\u00e9rabilit\u00e9 critique cette ann\u00e9e (CVE-2022-3328) dans l'outil snap-confine, distribu\u00e9 avec le drapeau SUID root et appel\u00e9 par le processus snapd pour cr\u00e9er un environnement d'ex\u00e9cution pour les applications distribu\u00e9es dans des paquets autonomes au format snap. Cette vuln\u00e9rabilit\u00e9 permet \u00e0 un utilisateur local non privil\u00e9gi\u00e9 d'ex\u00e9cuter du code avec des droits root dans une configuration Ubuntu par d\u00e9faut. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans la version snapd 2.57.6. Des mises \u00e0 jour de paquets ont \u00e9t\u00e9 publi\u00e9es pour toutes les branches d'Ubuntu prises en charge. <\/p>\n
Il est int\u00e9ressant de noter que la vuln\u00e9rabilit\u00e9 en question a \u00e9t\u00e9 introduite lors de la correction d'une vuln\u00e9rabilit\u00e9 similaire en f\u00e9vrier dans snap-confine. Les chercheurs ont r\u00e9ussi \u00e0 pr\u00e9parer un exploit fonctionnel offrant un acc\u00e8s root dans Ubuntu Server 22.04, o\u00f9, en plus de la vuln\u00e9rabilit\u00e9 dans snap-confine, deux autres vuln\u00e9rabilit\u00e9s dans le processus multipathd (CVE-2022-41974, CVE-2022-41973) sont \u00e9galement impliqu\u00e9es, li\u00e9es \u00e0 un contournement des v\u00e9rifications d'autorisation lors de l'ex\u00e9cution de commandes privil\u00e9gi\u00e9es et \u00e0 une manipulation non s\u00e9curis\u00e9e des liens symboliques. <\/p>\n
La vuln\u00e9rabilit\u00e9 dans snap-confine est due \u00e0 une condition de course dans la fonction must_mkdir_and_open_with_perms(), ajout\u00e9e pour prot\u00e9ger contre la substitution du r\u00e9pertoire \/tmp\/snap.$SNAP_NAME par un lien symbolique apr\u00e8s la v\u00e9rification du propri\u00e9taire, mais avant l'appel syst\u00e8me mount pour monter des r\u00e9pertoires du paquet au format snap. La protection ajout\u00e9e consistait \u00e0 renommer le r\u00e9pertoire \/tmp\/snap.$SNAP_NAME en un autre r\u00e9pertoire dans \/tmp avec un nom al\u00e9atoire, s'il existe et n'appartient pas \u00e0 l'utilisateur root. <\/p>\n
Lors de l'op\u00e9ration de renommage du r\u00e9pertoire \/tmp\/snap.$SNAP_NAME, les chercheurs ont profit\u00e9 du fait que snap-confine cr\u00e9e \u00e9galement un r\u00e9pertoire \/tmp\/snap.rootfs_XXXXXX pour la racine du contenu du paquet snap. La partie \u00ab XXXXXX \u00bb du nom est choisie de mani\u00e8re al\u00e9atoire \u00e0 l'aide de mkdtemp(), mais un paquet nomm\u00e9 \u00ab rootfs_XXXXXX \u00bb peut passer la validation dans la fonction sc_instance_name_validate (c'est-\u00e0-dire que l'id\u00e9e est que le nom $SNAP_NAME prenne la valeur \u00ab rootfs_XXXXXX \u00bb, et alors l'op\u00e9ration de renommage entra\u00eenera l'\u00e9crasement du r\u00e9pertoire \/tmp\/snap.rootfs_XXXXXX avec la racine snap). <\/p>\n
Pour permettre l'utilisation simultan\u00e9e de \/tmp\/snap.rootfs_XXXXXX et de renommer \/tmp\/snap.$SNAP_NAME, deux instances de snap-confine ont \u00e9t\u00e9 lanc\u00e9es. D\u00e8s que la premi\u00e8re instance cr\u00e9ait \/tmp\/snap.rootfs_XXXXXX, le processus se bloquait et la deuxi\u00e8me instance, portant le nom du paquet rootfs_XXXXXX, \u00e9tait lanc\u00e9e, ce qui entra\u00eenait le fait que le r\u00e9pertoire temporaire \/tmp\/snap.$SNAP_NAME de la seconde instance devenait le r\u00e9pertoire racine \/tmp\/snap.rootfs_XXXXXX de la premi\u00e8re. Juste apr\u00e8s l'ex\u00e9cution du renommage, la seconde instance se terminait de mani\u00e8re inattendue, et \/tmp\/snap.rootfs_XXXXXX \u00e9tait remplac\u00e9 par une manipulation d'\u00e9tat de concurrence, comme lors de l'exploitation de la vuln\u00e9rabilit\u00e9 de f\u00e9vrier. Apr\u00e8s ce remplacement, le verrouillage d'ex\u00e9cution de la premi\u00e8re instance \u00e9tait lev\u00e9 et les attaquants obtenaient un contr\u00f4le total sur le r\u00e9pertoire racine du snap. <\/p>\n