पोलकिट में गंभीर भेद्यता अधिकांश लिनक्स वितरणों पर रूट पहुंच की अनुमति देती है

क्वालिस ने पोलकिट (पूर्व में पॉलिसीकिट) सिस्टम घटक में एक भेद्यता (सीवीई-2021-4034) की पहचान की है, जिसका उपयोग वितरण में किया जाता है ताकि वंचित उपयोगकर्ताओं को ऐसे कार्यों को करने की अनुमति मिल सके जिनके लिए उन्नत पहुंच अधिकारों की आवश्यकता होती है। भेद्यता एक वंचित स्थानीय उपयोगकर्ता को अपने विशेषाधिकारों को रूट करने और सिस्टम का पूर्ण नियंत्रण हासिल करने की अनुमति देती है। समस्या का कोडनेम PwnKit था और यह एक कार्यशील शोषण उत्पन्न करने के लिए उल्लेखनीय है जो अधिकांश लिनक्स वितरणों पर डिफ़ॉल्ट कॉन्फ़िगरेशन में चलता है।

समस्या PolKit की pkexec उपयोगिता में मौजूद है, जो SUID रूट फ़्लैग के साथ आती है और निर्दिष्ट PolKit नियमों के अनुसार किसी अन्य उपयोगकर्ता के विशेषाधिकारों के साथ कमांड चलाने के लिए डिज़ाइन की गई है। pkexec को दिए गए कमांड लाइन तर्कों की गलत हैंडलिंग के कारण, एक विशेषाधिकार प्राप्त उपयोगकर्ता प्रमाणीकरण को बायपास कर सकता है और अपने कोड को रूट के रूप में चला सकता है, चाहे एक्सेस नियम कुछ भी हों। किसी हमले के लिए, इससे कोई फर्क नहीं पड़ता कि पोलकिट में कौन सी सेटिंग्स और प्रतिबंध निर्दिष्ट हैं, यह पर्याप्त है कि SUID रूट विशेषता pkexec उपयोगिता के साथ निष्पादन योग्य फ़ाइल के लिए सेट है।

Pkexec किसी प्रक्रिया को शुरू करते समय पारित कमांड लाइन तर्क गिनती (argc) की वैधता की जांच नहीं करता है। pkexec के डेवलपर्स ने माना कि argv सरणी में पहली प्रविष्टि में हमेशा प्रक्रिया का नाम (pkexec) होता है, और दूसरी में या तो NULL मान या pkexec के माध्यम से लॉन्च किए गए कमांड का नाम होता है। चूंकि तर्क गणना को सरणी की वास्तविक सामग्री के विरुद्ध जांचा नहीं गया था और हमेशा 1 से अधिक माना जाता था, यदि एक प्रक्रिया को एक खाली argv सरणी पारित किया गया था, जैसा कि लिनक्स निष्पादन फ़ंक्शन अनुमति देता है, pkexec NULL को पहले तर्क के रूप में मानेगा ( प्रक्रिया का नाम) और अगला बफर मेमोरी के बाहर, सरणी की बाद की सामग्री की तरह। |———+———+——+————|———+———+——+————| | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| VVVVVV "प्रोग्राम" "-विकल्प" शून्य "मान" "पथ=नाम" शून्य

समस्या यह है कि argv सरणी के बाद मेमोरी में पर्यावरण चर युक्त एक envp सरणी होती है। इस प्रकार, यदि argv सरणी खाली है, तो pkexec पर्यावरण चर के साथ सरणी के पहले तत्व से उन्नत विशेषाधिकारों के साथ चलने वाले कमांड के बारे में डेटा निकालता है (argv[1] envp[0] के समान हो गया है), जिसकी सामग्री को नियंत्रित किया जा सकता है हमलावर द्वारा.

argv[1] का मान प्राप्त करने के बाद, pkexec, PATH में फ़ाइल पथों को ध्यान में रखते हुए, निष्पादन योग्य फ़ाइल का पूरा पथ निर्धारित करने का प्रयास करता है और argv[1] पर वापस पूर्ण पथ के साथ स्ट्रिंग पर एक पॉइंटर लिखता है, जो पहले पर्यावरण चर के मान को ओवरराइट करने की ओर ले जाता है, क्योंकि argv[1] envp[0] के समान है। पहले पर्यावरण चर के नाम में हेरफेर करके, एक हमलावर pkexec में किसी अन्य पर्यावरण चर को प्रतिस्थापित कर सकता है, उदाहरण के लिए, "LD_PRELOAD" पर्यावरण चर को प्रतिस्थापित कर सकता है, जिसकी suid प्रोग्राम में अनुमति नहीं है, और अपनी साझा लाइब्रेरी को इसमें लोड करने की व्यवस्था कर सकता है। प्रक्रिया।

कार्यशील शोषण में GCONV_PATH वैरिएबल को प्रतिस्थापित करना शामिल है, जिसका उपयोग प्रतीक ट्रांसकोडिंग लाइब्रेरी के पथ को निर्धारित करने के लिए किया जाता है, जिसे g_printerr() फ़ंक्शन को कॉल करते समय गतिशील रूप से लोड किया जाता है, जिसका कोड आइकनv_open() का उपयोग करता है। GCONV_PATH में पथ को फिर से परिभाषित करके, एक हमलावर यह सुनिश्चित कर सकता है कि यह मानक आइकनवी लाइब्रेरी नहीं है जिसे लोड किया गया है, बल्कि इसकी अपनी लाइब्रेरी है, जिसमें से हैंडलर तब निष्पादित होंगे जब चरण में एक त्रुटि संदेश प्रदर्शित होता है जब pkexec अभी भी चल रहा है रूट अधिकार और लॉन्च से पहले अनुमतियों की जाँच की जाती है।

यह नोट किया गया है कि इस तथ्य के बावजूद कि समस्या मेमोरी भ्रष्टाचार के कारण होती है, उपयोग किए गए हार्डवेयर आर्किटेक्चर की परवाह किए बिना इसका विश्वसनीय रूप से और बार-बार शोषण किया जा सकता है। तैयार किए गए शोषण का उबंटू, डेबियन, फेडोरा और सेंटओएस पर सफलतापूर्वक परीक्षण किया गया है, लेकिन इसका उपयोग अन्य वितरणों पर भी किया जा सकता है। मूल शोषण अभी तक सार्वजनिक रूप से उपलब्ध नहीं है, यह दर्शाता है कि यह तुच्छ है और अन्य शोधकर्ताओं द्वारा इसे आसानी से फिर से बनाया जा सकता है, इसलिए बहु-उपयोगकर्ता सिस्टम पर पैच अपडेट को जल्द से जल्द स्थापित करना महत्वपूर्ण है। पोलकिट बीएसडी सिस्टम और सोलारिस के लिए भी उपलब्ध है, लेकिन उन पर उपयोग के लिए इसका अध्ययन नहीं किया गया है। यह ज्ञात है कि ओपनबीएसडी पर हमला नहीं किया जा सकता है, क्योंकि ओपनबीएसडी कर्नेल execve() कहे जाने पर शून्य argc मान को पारित करने की अनुमति नहीं देता है।

यह समस्या pkexec कमांड के जुड़ने के बाद से मई 2009 से मौजूद है। पोलकिट भेद्यता का समाधान वर्तमान में एक पैच के रूप में उपलब्ध है (कोई पैच रिलीज़ जारी नहीं किया गया है), लेकिन चूंकि वितरण डेवलपर्स को समस्या के बारे में पहले से सूचित किया गया था, अधिकांश वितरणों ने भेद्यता के बारे में जानकारी के प्रकटीकरण के साथ-साथ अपडेट प्रकाशित किया। समस्या RHEL 6/7/8, डेबियन, उबंटू, ओपनएसयूएसई, एसयूएसई, फेडोरा, एएलटी लिनक्स, आरओएसए, जेंटू, वॉयड लिनक्स, आर्क लिनक्स और मंज़रो में ठीक हो गई है। भेद्यता को रोकने के लिए एक अस्थायी उपाय के रूप में, आप /usr/bin/pkexec प्रोग्राम ("chmod 0755 /usr/bin/pkexec") से SUID रूट फ़्लैग को हटा सकते हैं।

स्रोत: opennet.ru