स्नैप पैकेज प्रबंधन टूलकिट में रूट भेद्यता

क्वालिस ने इस वर्ष स्नैप-कॉन्फाइन उपयोगिता में तीसरी खतरनाक भेद्यता (सीवीई-2022-3328) की पहचान की है, जो एसयूआईडी रूट फ्लैग के साथ आती है और स्व-निहित पैकेजों में वितरित अनुप्रयोगों के लिए निष्पादन योग्य वातावरण बनाने के लिए स्नैपडील प्रक्रिया द्वारा कॉल की जाती है। स्नैप प्रारूप में. भेद्यता एक स्थानीय अप्राप्त उपयोगकर्ता को डिफ़ॉल्ट उबंटू कॉन्फ़िगरेशन में रूट के रूप में कोड निष्पादन प्राप्त करने की अनुमति देती है। स्नैपडील 2.57.6 रिलीज़ में समस्या ठीक हो गई है। उबंटू की सभी समर्थित शाखाओं के लिए पैकेज अपडेट जारी कर दिए गए हैं।

दिलचस्प बात यह है कि विचाराधीन भेद्यता को स्नैप-कॉन्फ़ाइन में फरवरी की समान भेद्यता को ठीक करने की प्रक्रिया के दौरान पेश किया गया था। शोधकर्ता एक कामकाजी शोषण तैयार करने में सक्षम थे जो उबंटू सर्वर 22.04 तक रूट पहुंच प्रदान करता है, जिसमें स्नैप-कॉन्फाइन में भेद्यता के अलावा, मल्टीपाथ प्रक्रिया में दो कमजोरियां भी शामिल हैं (सीवीई-2022-41974, सीवीई-2022-41973) , विशेषाधिकार प्राप्त आदेशों के प्रसारण और प्रतीकात्मक लिंक के साथ असुरक्षित कार्य के दौरान प्राधिकरण की जांच को दरकिनार करने से जुड़ा हुआ है।

स्नैप-कॉन्फ़ाइन में भेद्यता mst_mkdir_and_open_with_perms() फ़ंक्शन में दौड़ की स्थिति के कारण होती है, जो मालिक की जाँच के बाद एक प्रतीकात्मक लिंक के साथ /tmp/snap.$SNAP_NAME निर्देशिका के प्रतिस्थापन से बचाने के लिए जोड़ा जाता है, लेकिन माउंट सिस्टम को कॉल करने से पहले स्नैप प्रारूप में पैकेज के लिए इसमें बाइंड-माउंट निर्देशिकाओं को कॉल करें। अतिरिक्त सुरक्षा यह थी कि /tmp/snap.$SNAP_NAME निर्देशिका का नाम बदलकर यादृच्छिक नाम के साथ /tmp में किसी अन्य निर्देशिका में कर दिया जाए, यदि वह मौजूद है और रूट के स्वामित्व में नहीं है।

/tmp/snap.$SNAP_NAME निर्देशिका नाम बदलें ऑपरेशन का उपयोग करते समय, शोधकर्ताओं ने इस तथ्य का लाभ उठाया कि स्नैप-कॉन्फाइन स्नैप पैकेज की सामग्री के रूट के लिए /tmp/snap.rootfs_XXXXXX निर्देशिका भी बनाता है। नाम का "XXXXXX" भाग mkdtemp() द्वारा यादृच्छिक रूप से चुना जाता है, लेकिन "rootfs_XXXXXX" नामक पैकेज को sc_instance_name_validate फ़ंक्शन में मान्य किया जा सकता है (यानी विचार यह है कि $SNAP_NAME को "rootfs_XXXXXX" पर सेट किया जाएगा और फिर नाम बदलने की कार्रवाई की जाएगी इसके परिणामस्वरूप /tmp/snap.rootfs_XXXXXX निर्देशिका को रूट स्नैप के साथ अधिलेखित कर दिया जाएगा)।

/tmp/snap.rootfs_XXXXXX का एक साथ उपयोग करने और /tmp/snap.$SNAP_NAME का नाम बदलने के लिए, स्नैप-कॉन्फ़ाइन के दो उदाहरण लॉन्च किए गए थे। एक बार पहला उदाहरण /tmp/snap.rootfs_XXXXXX बन जाने के बाद, प्रक्रिया अवरुद्ध हो जाएगी और दूसरा उदाहरण पैकेज नाम rootfs_XXXXXX के साथ शुरू होगा, जिससे दूसरे उदाहरण की अस्थायी निर्देशिका /tmp/snap.$SNAP_NAME रूट निर्देशिका /tmp/snap बन जाएगी। पहले का .rootfs_XXXXXX। नाम बदलने के पूरा होने के तुरंत बाद, दूसरा उदाहरण क्रैश हो गया, और /tmp/snap.rootfs_XXXXXX को रेस स्थिति में हेरफेर के साथ बदल दिया गया, जैसा कि फरवरी भेद्यता का फायदा उठाते समय किया गया था। प्रतिस्थापन के बाद, निष्पादन लॉक को पहले उदाहरण से हटा दिया गया और हमलावरों ने स्नैप रूट निर्देशिका पर पूर्ण नियंत्रण प्राप्त कर लिया।

अंतिम चरण एक सिम्लिंक /tmp/snap.rootfs_XXXXXX/tmp बनाना था, जिसका उपयोग sc_bootstrap_mount_namespace() फ़ंक्शन द्वारा फ़ाइल सिस्टम में किसी भी निर्देशिका में लिखने योग्य वास्तविक निर्देशिका /tmp को बाइंड-माउंट करने के लिए किया गया था, क्योंकि mount() कॉल माउंट करने से पहले सिम्लिंक का अनुसरण करता है। इस तरह की माउंटिंग को AppArmor प्रतिबंधों द्वारा अवरुद्ध किया जाता है, लेकिन इस ब्लॉक को बायपास करने के लिए, शोषण ने मल्टीपाथ में दो सहायक कमजोरियों का उपयोग किया।

स्रोत: opennet.ru