स्नैप पैकेज प्रबंधन टूलकिट में स्थानीय रूट कमजोरियाँ

क्वालिस ने स्नैप-कॉन्फाइन उपयोगिता में दो कमजोरियों (सीवीई-2021-44731, सीवीई-2021-44730) की पहचान की है, जो एसयूआईडी रूट फ्लैग के साथ आपूर्ति की जाती है और स्व-निहित पैकेजों में वितरित अनुप्रयोगों के लिए निष्पादन योग्य वातावरण बनाने के लिए स्नैपडील प्रक्रिया द्वारा कॉल की जाती है। स्नैप प्रारूप में. कमजोरियाँ एक स्थानीय अप्राप्त उपयोगकर्ता को सिस्टम पर रूट विशेषाधिकारों के साथ कोड निष्पादित करने की अनुमति देती हैं। उबंटू 21.10, 20.04 और 18.04 के लिए आज के स्नैपडील पैकेज अपडेट में समस्याओं का समाधान किया गया है।

पहली भेद्यता (सीवीई-2021-44730) हार्ड लिंक हेरफेर के माध्यम से हमले की अनुमति देती है, लेकिन सिस्टम हार्ड लिंक सुरक्षा को अक्षम करने की आवश्यकता होती है (sysctl fs.protected_hardlinks को 0 पर सेट करना)। समस्या रूट के रूप में चलने वाले स्नैप-अपडेट-एनएस और स्नैप-डिस्कार्ड-एनएस हेल्पर प्रोग्राम की निष्पादन योग्य फ़ाइलों के स्थान के गलत सत्यापन के कारण होती है। इन फ़ाइलों के पथ की गणना sc_open_snapd_tool() फ़ंक्शन में /proc/self/exe के अपने पथ के आधार पर की गई थी, जो आपको अपनी निर्देशिका में स्नैप-कॉन्फ़ाइन के लिए एक हार्ड लिंक बनाने और स्नैप के अपने स्वयं के संस्करण रखने की अनुमति देता है- इस निर्देशिका में अद्यतन-एनएस और स्नैप-उपयोगिताएँ त्यागें-एनएस। हार्ड लिंक के माध्यम से चलने के बाद, रूट अधिकारों के साथ स्नैप-कॉन्फ़ाइन हमलावर द्वारा प्रतिस्थापित वर्तमान निर्देशिका से स्नैप-अपडेट-एनएस और स्नैप-डिस्कार्ड-एनएस फ़ाइलों को लॉन्च करेगा।

दूसरी भेद्यता दौड़ की स्थिति के कारण होती है और डिफ़ॉल्ट उबंटू डेस्कटॉप कॉन्फ़िगरेशन में इसका फायदा उठाया जा सकता है। उबंटू सर्वर में शोषण के सफलतापूर्वक काम करने के लिए, आपको इंस्टॉल करते समय "फीचर्ड सर्वर स्नैप्स" अनुभाग से एक पैकेज का चयन करना होगा। स्नैप पैकेज के लिए माउंट पॉइंट नेमस्पेस की तैयारी के दौरान बुलाए गए setup_private_mount() फ़ंक्शन में रेस की स्थिति स्पष्ट है। यह फ़ंक्शन एक अस्थायी निर्देशिका "/tmp/snap.$SNAP_NAME/tmp" बनाता है या इसमें स्नैप पैकेज के लिए निर्देशिकाओं को बाइंड-माउंट करने के लिए मौजूदा निर्देशिका का उपयोग करता है।

चूँकि अस्थायी निर्देशिका का नाम पूर्वानुमानित है, एक हमलावर स्वामी की जाँच करने के बाद, लेकिन माउंट सिस्टम कॉल करने से पहले इसकी सामग्री को एक प्रतीकात्मक लिंक से बदल सकता है। उदाहरण के लिए, आप /tmp/snap.lxd निर्देशिका में एक सिम्लिंक "/tmp/snap.lxd/tmp" बना सकते हैं जो एक मनमानी निर्देशिका की ओर इशारा करता है, और mount() पर कॉल सिम्लिंक का अनुसरण करेगा और निर्देशिका को माउंट करेगा स्नैप नेमस्पेस. इसी तरह, आप अपनी सामग्री को /var/lib में माउंट कर सकते हैं और, /var/lib/snapd/mount/snap.snap-store.user-fstab को प्रतिस्थापित करके, अपने /etc निर्देशिका के माउंटिंग को नेमस्पेस में व्यवस्थित कर सकते हैं /etc/ld.so.preload को प्रतिस्थापित करके रूट अधिकारों के साथ अपनी लाइब्रेरी की लोडिंग को व्यवस्थित करने के लिए स्नैप पैकेज।

यह नोट किया गया है कि एक शोषण बनाना एक गैर-तुच्छ कार्य साबित हुआ, क्योंकि स्नैप-कॉन्फाइन उपयोगिता सुरक्षित प्रोग्रामिंग तकनीकों का उपयोग करके गो में लिखी गई है, इसमें ऐपआर्मर प्रोफाइल के आधार पर सुरक्षा है, एसईसीकॉम्प तंत्र के आधार पर सिस्टम कॉल फ़िल्टर करता है, और उपयोग करता है अलगाव के लिए माउंट नेमस्पेस। हालाँकि, शोधकर्ता सिस्टम पर मूल अधिकार हासिल करने के लिए एक कार्यशील शोषण तैयार करने में सक्षम थे। उपयोगकर्ताओं द्वारा दिए गए अपडेट इंस्टॉल करने के कुछ सप्ताह बाद शोषण कोड प्रकाशित किया जाएगा।

स्रोत: opennet.ru