Snap પેકેજ મેનેજમેન્ટ ટૂલકીટમાં રુટ નબળાઈ

Qualys એ આ વર્ષે ત્રીજી ખતરનાક નબળાઈ ઓળખી છે (CVE-2022-3328) snap-confine યુટિલિટી, જે SUID રુટ ફ્લેગ સાથે આવે છે અને સ્વ-સમાયેલ પેકેજોમાં વિતરિત એપ્લિકેશન્સ માટે એક્ઝિક્યુટેબલ વાતાવરણ બનાવવા માટે snapd પ્રક્રિયા દ્વારા બોલાવવામાં આવે છે. સ્નેપ ફોર્મેટમાં. નબળાઈ સ્થાનિક અનપ્રિવિલેજ્ડ યુઝરને ડિફોલ્ટ ઉબુન્ટુ રૂપરેખાંકનમાં રૂટ તરીકે કોડ એક્ઝેક્યુશન હાંસલ કરવાની મંજૂરી આપે છે. સમસ્યા snapd 2.57.6 રિલીઝમાં ઠીક કરવામાં આવી છે. ઉબુન્ટુની તમામ સમર્થિત શાખાઓ માટે પેકેજ અપડેટ્સ બહાર પાડવામાં આવ્યા છે.

રસપ્રદ વાત એ છે કે, પ્રશ્નમાં રહેલી નબળાઈ સ્નેપ-કન્ફાઈનમાં ફેબ્રુઆરીની સમાન નબળાઈને ઠીક કરવાની પ્રક્રિયા દરમિયાન રજૂ કરવામાં આવી હતી. સંશોધકો એક કાર્યકારી શોષણ તૈયાર કરવામાં સક્ષમ હતા જે ઉબુન્ટુ સર્વર 22.04 ને રૂટ એક્સેસ પ્રદાન કરે છે, જે સ્નેપ-કન્ફાઇનમાં નબળાઈ ઉપરાંત, મલ્ટિપાથડ પ્રક્રિયામાં બે નબળાઈઓ પણ સમાવે છે (CVE-2022-41974, CVE-2022-41973) , વિશેષાધિકૃત આદેશોના પ્રસારણ અને સાંકેતિક લિંક્સ સાથે અસુરક્ષિત કાર્ય કરતી વખતે સત્તાની તપાસને બાયપાસ કરવા સાથે સંકળાયેલ છે.

snap-confine માં નબળાઈ must_mkdir_and_open_with_perms() ફંક્શનમાં રેસની સ્થિતિને કારણે થાય છે, જે /tmp/snap ના અવેજી સામે રક્ષણ માટે ઉમેરવામાં આવે છે. $SNAP_NAME ડિરેક્ટરી માલિકને તપાસ્યા પછી પ્રતીકાત્મક લિંક સાથે, પરંતુ માઉન્ટ સિસ્ટમને કૉલ કરતા પહેલા સ્નેપ ફોર્મેટમાં પેકેજ માટે તેમાં બાઈન્ડ-માઉન્ટ ડિરેક્ટરીઓને કૉલ કરો. વધારાનું રક્ષણ એ /tmp/snap.$SNAP_NAME ડિરેક્ટરીનું નામ બદલીને /tmp માં અન્ય ડિરેક્ટરીમાં રેન્ડમ નામ સાથે કરવાનું હતું જો તે અસ્તિત્વમાં હોય અને રુટની માલિકીની ન હોય.

જ્યારે /tmp/snap.$SNAP_NAME ડિરેક્ટરી રિનામ ઑપરેશનનો ઉપયોગ કરતી વખતે, સંશોધકોએ એ હકીકતનો લાભ લીધો કે snap-confine એ સ્નેપ પેકેજના સમાવિષ્ટોના રુટ માટે /tmp/snap.rootfs_XXXXXX ડિરેક્ટરી પણ બનાવે છે. નામનો "XXXXXX" ભાગ mkdtemp() દ્વારા અવ્યવસ્થિત રીતે પસંદ કરવામાં આવ્યો છે, પરંતુ "rootfs_XXXXXX" નામના પેકેજને sc_instance_name_validate ફંક્શનમાં માન્ય કરી શકાય છે (એટલે ​​​​કે વિચાર એ છે કે $SNAP_NAME ને "rootfs_XXXXXX" પર સેટ કરવામાં આવશે અને પછી નામ બદલવાની કામગીરી. રૂટ સ્નેપ સાથે /tmp/snap.rootfs_XXXXXX ડિરેક્ટરી પર ફરીથી લખવામાં પરિણમશે).

/tmp/snap.rootfs_XXXXXX નો એક સાથે ઉપયોગ અને /tmp/snap.$SNAP_NAME નું નામ બદલવા માટે, snap-confine ના બે ઉદાહરણો લોંચ કરવામાં આવ્યા હતા. એકવાર પ્રથમ ઉદાહરણ /tmp/snap.rootfs_XXXXXX બનાવ્યા પછી, પ્રક્રિયા અવરોધિત થઈ જશે અને બીજો દાખલો પેકેજ નામ rootfs_XXXXXX સાથે શરૂ થશે, જેના કારણે બીજા દાખલાની અસ્થાયી ડિરેક્ટરી /tmp/snap.$SNAP_NAME રૂટ ડિરેક્ટરી /tmp/snap બની જશે. પ્રથમમાંથી .rootfs_XXXXXX. નામ બદલ્યા પછી તરત જ, બીજી ઘટના ક્રેશ થઈ ગઈ, અને /tmp/snap.rootfs_XXXXXX ને રેસ કન્ડીશન મેનીપ્યુલેશન સાથે બદલવામાં આવ્યું, જેમ કે ફેબ્રુઆરીની નબળાઈનો ઉપયોગ કરતી વખતે. અવેજી પછી, એક્ઝેક્યુશન લૉકને પ્રથમ ઘટનામાંથી દૂર કરવામાં આવ્યું હતું અને હુમલાખોરોએ સ્નેપ રૂટ ડિરેક્ટરી પર સંપૂર્ણ નિયંત્રણ મેળવ્યું હતું.

છેલ્લું પગલું સિમલિંક /tmp/snap.rootfs_XXXXXX/tmp બનાવવાનું હતું, જેનો ઉપયોગ sc_bootstrap_mount_namespace() ફંક્શન દ્વારા ફાઈલ સિસ્ટમમાં કોઈપણ ડિરેક્ટરી સાથે લખી શકાય તેવી રીઅલ ડિરેક્ટરી /tmp ને બાંધવા માટે કરવામાં આવ્યો હતો, કારણ કે mount() કૉલ માઉન્ટ કરતા પહેલા સિમલિંક્સને અનુસરે છે. આવા માઉન્ટિંગને AppArmor પ્રતિબંધો દ્વારા અવરોધિત કરવામાં આવે છે, પરંતુ આ બ્લોકને બાયપાસ કરવા માટે, શોષણે મલ્ટીપાથડમાં બે સહાયક નબળાઈઓનો ઉપયોગ કર્યો હતો.

સોર્સ: opennet.ru