પોલકિટમાં જટિલ નબળાઈ મોટા ભાગના Linux વિતરણો પર રૂટ એક્સેસને મંજૂરી આપે છે

Qualys એ બિનપ્રાપ્તિવિહીન વપરાશકર્તાઓને એલિવેટેડ ઍક્સેસ અધિકારોની જરૂર હોય તેવી ક્રિયાઓ કરવા દેવા માટે વિતરણમાં ઉપયોગમાં લેવાતા Polkit (અગાઉનું પોલિસીકિટ) સિસ્ટમ ઘટકમાં નબળાઈ (CVE-2021-4034) ઓળખી કાઢ્યું છે. નબળાઈ એક બિનપ્રાપ્તિહીત સ્થાનિક વપરાશકર્તાને તેમના વિશેષાધિકારોને રુટ કરવા અને સિસ્ટમ પર સંપૂર્ણ નિયંત્રણ મેળવવાની મંજૂરી આપે છે. સમસ્યાનું કોડનેમ PwnKit હતું અને તે વર્કિંગ એક્સપ્લોઈટ બનાવવા માટે નોંધપાત્ર છે જે મોટાભાગના Linux વિતરણો પર ડિફોલ્ટ રૂપરેખાંકનમાં ચાલે છે.

સમસ્યા PolKit ની pkexec ઉપયોગિતામાં હાજર છે, જે SUID રુટ ફ્લેગ સાથે આવે છે અને તે નિર્દિષ્ટ PolKit નિયમો અનુસાર બીજા વપરાશકર્તાના વિશેષાધિકારો સાથે આદેશો ચલાવવા માટે રચાયેલ છે. pkexec ને પસાર કરાયેલ કમાન્ડ લાઇન દલીલોના ખોટા હેન્ડલિંગને લીધે, એક બિનપ્રાપ્તિહીત વપરાશકર્તા પ્રમાણીકરણને બાયપાસ કરી શકે છે અને ઍક્સેસ નિયમો સેટને ધ્યાનમાં લીધા વિના તેમના કોડને રૂટ તરીકે ચલાવવાનું કારણ બની શકે છે. હુમલા માટે, PolKit માં કઈ સેટિંગ્સ અને પ્રતિબંધો ઉલ્લેખિત છે તેનાથી કોઈ ફરક પડતો નથી, તે પૂરતું છે કે SUID રુટ એટ્રિબ્યુટ pkexec ઉપયોગિતા સાથે એક્ઝેક્યુટેબલ ફાઇલ માટે સેટ કરેલ છે.

Pkexec પ્રક્રિયા શરૂ કરતી વખતે પાસ કરેલ કમાન્ડ લાઇન દલીલ ગણતરી (argc) ની માન્યતા તપાસતું નથી. pkexec ના વિકાસકર્તાઓએ ધાર્યું હતું કે argv એરેમાં પ્રથમ એન્ટ્રી હંમેશા પ્રક્રિયાનું નામ (pkexec) ધરાવે છે, અને બીજી ક્યાં તો NULL મૂલ્ય અથવા pkexec મારફતે શરૂ કરાયેલ આદેશનું નામ. કારણ કે દલીલની ગણતરી એરેની વાસ્તવિક સામગ્રીઓ સામે તપાસવામાં આવી ન હતી અને તે હંમેશા 1 કરતા વધારે હોવાનું માનવામાં આવતું હતું, જો પ્રક્રિયાને ખાલી argv એરે પસાર કરવામાં આવે, જેમ કે Linux execve ફંક્શન પરવાનગી આપે છે, pkexec NULL ને પ્રથમ દલીલ તરીકે ગણશે ( પ્રક્રિયાનું નામ) અને પછીનું બફર મેમરીની બહાર, જેમ કે એરેના અનુગામી સમાવિષ્ટો. |———+———+——+————|———+———+——+————| | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| VVVVVV "પ્રોગ્રામ" "-વિકલ્પ" NULL "મૂલ્ય" "PATH=name" NULL

સમસ્યા એ છે કે argv એરે પછી પર્યાવરણ ચલો ધરાવતી મેમરીમાં envp એરે છે. આમ, જો argv એરે ખાલી હોય, તો pkexec એરેના પ્રથમ એલિમેન્ટમાંથી પર્યાવરણ વેરીએબલ્સ (argv[1] envp[0] માટે સમાન બની ગયું છે) માંથી એલિવેટેડ વિશેષાધિકારો સાથે ચલાવવામાં આવતા આદેશ વિશે ડેટા કાઢે છે, જેનાં સમાવિષ્ટોને નિયંત્રિત કરી શકાય છે. હુમલાખોર દ્વારા.

argv[1] ની કિંમત પ્રાપ્ત કર્યા પછી, pkexec, PATH માં ફાઇલ પાથને ધ્યાનમાં લઈને, એક્ઝેક્યુટેબલ ફાઇલનો સંપૂર્ણ પાથ નક્કી કરવાનો પ્રયાસ કરે છે અને argv[1] પર પાછા જવાના સંપૂર્ણ પાથ સાથે સ્ટ્રિંગ પર નિર્દેશક લખે છે, જે પ્રથમ પર્યાવરણ વેરીએબલના મૂલ્યને ઓવરરાઇટ કરવા તરફ દોરી જાય છે, કારણ કે argv[ 1] envp[0] ની સમાન છે. પ્રથમ એન્વાયર્નમેન્ટ વેરીએબલના નામની હેરફેર કરીને, હુમલાખોર pkexec માં અન્ય પર્યાવરણ વેરીએબલને બદલી શકે છે, ઉદાહરણ તરીકે, "LD_PRELOAD" એન્વાયર્નમેન્ટ વેરીએબલને અવેજી કરી શકે છે, જેને સ્યુડ પ્રોગ્રામ્સમાં મંજૂરી નથી, અને તેમની શેર કરેલી લાઇબ્રેરીમાં લોડ થવાની વ્યવસ્થા કરો. પ્રક્રિયા

કાર્યકારી શોષણમાં GCONV_PATH ચલને બદલવાનો સમાવેશ થાય છે, જેનો ઉપયોગ પ્રતીક ટ્રાન્સકોડિંગ લાઇબ્રેરીનો માર્ગ નક્કી કરવા માટે થાય છે, જે g_printerr() ફંક્શનને કૉલ કરતી વખતે ગતિશીલ રીતે લોડ થાય છે, જેનો કોડ iconv_open() નો ઉપયોગ કરે છે. GCONV_PATH માં પાથને પુનઃવ્યાખ્યાયિત કરીને, હુમલાખોર ખાતરી કરી શકે છે કે તે લોડ થયેલ પ્રમાણભૂત iconv લાઇબ્રેરી નથી, પરંતુ તેની પોતાની લાઇબ્રેરી છે, જેમાંથી હેન્ડલર્સ ચલાવવામાં આવશે જ્યારે સ્ટેજ પર ભૂલ સંદેશ પ્રદર્શિત થાય છે જ્યારે pkexec હજુ પણ ચાલુ હોય. રુટ અધિકારો અને લોંચ પરવાનગીઓ પહેલાં તપાસવામાં આવે છે.

એ નોંધ્યું છે કે સમસ્યા મેમરી ભ્રષ્ટાચારને કારણે છે તે હકીકત હોવા છતાં, ઉપયોગમાં લેવાતા હાર્ડવેર આર્કિટેક્ચરને ધ્યાનમાં લીધા વિના તેનો વિશ્વસનીય અને વારંવાર શોષણ કરી શકાય છે. ઉબુન્ટુ, ડેબિયન, ફેડોરા અને સેન્ટોસ પર તૈયાર કરાયેલા શોષણનું સફળતાપૂર્વક પરીક્ષણ કરવામાં આવ્યું છે, પરંતુ અન્ય વિતરણો પર પણ તેનો ઉપયોગ કરી શકાય છે. મૂળ શોષણ હજુ સુધી સાર્વજનિક રૂપે ઉપલબ્ધ નથી, જે દર્શાવે છે કે તે તુચ્છ છે અને અન્ય સંશોધકો દ્વારા સરળતાથી ફરીથી બનાવી શકાય છે, તેથી મલ્ટિ-યુઝર સિસ્ટમ્સ પર શક્ય તેટલી વહેલી તકે પેચ અપડેટ ઇન્સ્ટોલ કરવું મહત્વપૂર્ણ છે. પોલકીટ BSD સિસ્ટમ્સ અને સોલારિસ માટે પણ ઉપલબ્ધ છે, પરંતુ તેના પર ઉપયોગ માટે તેનો અભ્યાસ કરવામાં આવ્યો નથી. જે જાણીતું છે તે એ છે કે ઓપનબીએસડી પર હુમલો કરી શકાતો નથી, કારણ કે ઓપનબીએસડી કર્નલ જ્યારે execve() કહેવામાં આવે ત્યારે નલ argc મૂલ્ય પસાર કરવાની મંજૂરી આપતું નથી.

સમસ્યા મે 2009 થી હાજર છે, pkexec આદેશ ઉમેર્યા પછી. પોલકિટ નબળાઈ માટેનું ફિક્સ હાલમાં પેચ તરીકે ઉપલબ્ધ છે (કોઈ પેચ રિલીઝ કરવામાં આવ્યું નથી), પરંતુ વિતરણ વિકાસકર્તાઓને સમસ્યા વિશે અગાઉથી જાણ કરવામાં આવી હોવાથી, મોટાભાગના વિતરણોએ નબળાઈ વિશેની માહિતીની જાહેરાત સાથે અપડેટ પ્રકાશિત કર્યું હતું. આ મુદ્દો RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux અને Manjaro માં નિશ્ચિત છે. નબળાઈને અવરોધિત કરવાના કામચલાઉ પગલા તરીકે, તમે /usr/bin/pkexec પ્રોગ્રામ (“chmod 0755 /usr/bin/pkexec”)માંથી SUID રૂટ ફ્લેગને દૂર કરી શકો છો.

સોર્સ: opennet.ru