So-leòntachd ann an neach-cuairteachaidh lìonra a leigeas le ruigsinneachd freumhan

Tha luchd-rannsachaidh tèarainteachd Microsoft air dà laigse (CVE-2022-29799, CVE-2022-29800) a chomharrachadh anns an t-seirbheis networkd-dispatcher, leis an ainm còd Nimbuspwn, a leigeas le neach-cleachdaidh gun phribhideachd òrdughan neo-riaghailteach a dhèanamh le pribhilean freumha. Chaidh a’ chùis a rèiteachadh ann an networkd-dispatcher 2.2. Chan eil fiosrachadh ann fhathast a bheil ùrachaidhean air an foillseachadh aig sgaoilidhean.Debian, RHEL, Fedora, SUSE, Ubuntu, Bògh Linux).

Tha Networkd-dispatcher air a chleachdadh ann an iomadh cuairteachadh. Linuxgabhail a-steach Ubuntu, a bhios a’ cleachdadh a’ phròiseis cùl-fhiosrachaidh systemd-networkd gus paramadairean lìonra a rèiteachadh, agus a bhios a’ dèanamh ghnìomhan coltach ri NetworkManager-dispatcher, i.e. bidh e a’ ruith sgriobtaichean nuair a dh’atharraicheas staid a’ cheangail lìonra, mar eisimpleir, thèid a chleachdadh gus… VPN às dèidh ceangal bunaiteach an lìonra a stèidheachadh.

Bidh am pròiseas cùl-fhiosrachaidh co-cheangailte ri neach-cuairteachaidh lìonra a’ ruith mar fhreumh agus a’ faighinn comharran tachartais tron ​​​​D-Bus. Tha fiosrachadh mu thachartasan co-cheangailte ri atharrachaidhean ann an staid cheanglaichean lìonra air a chuir leis an t-seirbheis systemd-networkd. Is e an duilgheadas a th’ ann gum faod luchd-cleachdaidh gun bhuannachd tachartas stàite nach eil ann a ghineadh agus an sgriobt aca a bhrosnachadh gus a chuir gu bàs mar fhreumh.

Tha Systemd-networkd air a dhealbhadh gus dìreach sgriobtaichean làimhseachaidh siostam a ruith a tha suidhichte anns an eòlaire / etc/networkd-dispatcher agus nach eil ruigsinneach airson ath-nuadhachadh luchd-cleachdaidh, ach air sgàth so-leòntachd (CVE-2022-29799) ann an còd giullachd slighe faidhle, bha a comas air eòlaire bunaiteach taobh a-muigh chrìochan agus sgriobtaichean neo-riaghailteach a chuir air bhog. Gu sònraichte, nuair a chaidh an t-slighe faidhle a chruthachadh chun sgriobt, chaidh na luachan OperationalState agus AdministrativeState a chaidh a ghluasad tro D-Bus a chleachdadh, anns nach deach caractaran sònraichte a ghlanadh. Dh’ fhaodadh neach-ionnsaigh a stàit fhèin a ghineadh leis na caractaran “../” na ainm agus an gairm neach-cuairteachaidh lìonra ath-stiùireadh gu eòlaire eile.

Tha an dàrna so-leòntachd (CVE-2022-29800) co-cheangailte ri suidheachadh cinnidh - eadar a bhith a’ sgrùdadh paramadairean an sgriobt (a bhuineas don fhreumh) agus ga ruith, bha ùine ghoirid ann, gu leòr airson am faidhle a chuir na àite agus faighinn seachad air an t-seic an robh an buinidh an sgriobt don chleachdaiche root. A bharrachd air an sin, cha do rinn networkd-dispatcher sgrùdadh airson ceanglaichean samhlachail, a’ toirt a-steach nuair a ruith sgriobtaichean tron ​​​​ghairm subprocess.Popen, a rinn eagrachadh an ionnsaigh gu mòr nas sìmplidhe.

Teicneòlas obrachaidh:

• Tha eòlaire “/ tmp/nimbuspwn” agus ceangal samhlachail “/ tmp/nimbuspwn/poc.d” air an cruthachadh a’ comharrachadh an eòlaire “/ sbin”, a thathas a’ cleachdadh gus sgrùdadh a dhèanamh airson faidhlichean so-ghnìomhaichte le sealbh root.
• Airson faidhlichean so-ghnìomhaichte bho “/ sbin”, tha faidhlichean leis an aon ainm air an cruthachadh anns an eòlaire “/ tmp / nimbuspwn”, mar eisimpleir, airson an fhaidhle “/ sbin / vgs” tha faidhle so-ghnìomhaichte “/ tmp / nimbuspwn / vgs” air a chruthachadh, a tha le neach-cleachdaidh gun bhuannachd, anns a bheil an còd a tha an neach-ionnsaigh airson a ruith air a chuir.
• Thèid comharra a chur tro D-Bus chun phròiseas networkd-dispatcher leis an luach OperationalState air a shuidheachadh gu "../../../tmp/nimbuspwn/poc". Gus comharra a chur san àite-ainm "org.freedesktop.network1", chaidh an comas làimhsichean gnàthaichte a cheangal ri systemd-networkd a chleachdadh, mar eisimpleir, tro làimhseachadh le gpgv no epmd, no faodaidh neach brath a ghabhail air an fhìrinn nach eil systemd-networkd a’ ruith gu bunaiteach (mar eisimpleir, ann an Linux Mint).
• Às deidh dha an comharra fhaighinn, togaidh Networkd-dispatcher liosta de fhaidhlichean so-ghnìomhaichte leis an neach-cleachdaidh freumha agus a tha rim faighinn san eòlaire “/etc/networkd-dispatcher/../../../tmp/nimbuspwn/poc.d”, a tha dha-rìribh a’ ceangal ri “/sbin”.
• Aig an àm seo nuair a gheibhear liosta nam faidhlichean, ach nach deach an sgriobt a chuir air bhog fhathast, tha an ceangal samhlachail air ath-stiùireadh bho “/tmp/nimbuspwn/poc.d” gu “/tmp/nimbuspwn” agus cuiridh networkd-dispatcher am faidhle air bhog sgriobt air a chumail leis an neach-ionnsaigh le còraichean freumh.

Source: fosgailtenet.ru