नेटवर्कडी-डिस्पैचर में कमजोरियाँ जो रूट एक्सेस की अनुमति देती हैं

माइक्रोसॉफ्ट के सुरक्षा शोधकर्ताओं ने नेटवर्क-डिस्पैचर सेवा में दो कमजोरियों (सीवीई-2022-29799, सीवीई-2022-29800) की पहचान की है, जिसका कोडनेम निंबस्पॉन है, जो एक विशेषाधिकार प्राप्त उपयोगकर्ता को रूट विशेषाधिकारों के साथ मनमाने आदेशों को निष्पादित करने की अनुमति देता है। समस्या को नेटवर्कडी-डिस्पैचर 2.2 की रिलीज़ में ठीक कर दिया गया है। वितरण (डेबियन, आरएचईएल, फेडोरा, एसयूएसई, उबंटू, आर्क लिनक्स) द्वारा अपडेट के प्रकाशन के बारे में अभी तक कोई जानकारी नहीं है।

नेटवर्कडी-डिस्पैचर का उपयोग उबंटू समेत कई लिनक्स वितरणों में किया जाता है, जो नेटवर्क पैरामीटर को कॉन्फ़िगर करने के लिए पृष्ठभूमि प्रक्रिया सिस्टमडी-नेटवर्कडी का उपयोग करता है, और नेटवर्कमैनेजर-डिस्पैचर के समान कार्य करता है, यानी। जब नेटवर्क कनेक्शन की स्थिति बदलती है तो स्क्रिप्ट लॉन्च करने में लगी होती है, उदाहरण के लिए, इसका उपयोग मुख्य नेटवर्क कनेक्शन स्थापित होने के बाद वीपीएन लॉन्च करने के लिए किया जाता है।

नेटवर्कडी-डिस्पैचर से जुड़ी पृष्ठभूमि प्रक्रिया रूट के रूप में चलती है और डी-बस के माध्यम से ईवेंट सिग्नल प्राप्त करती है। नेटवर्क कनेक्शन की स्थिति में परिवर्तन से संबंधित घटनाओं की जानकारी systemd-networkd सेवा द्वारा भेजी जाती है। समस्या यह है कि विशेषाधिकार प्राप्त उपयोगकर्ता एक गैर-मौजूद स्थिति घटना उत्पन्न कर सकते हैं और अपनी स्क्रिप्ट को रूट के रूप में निष्पादित करने के लिए ट्रिगर कर सकते हैं।

Systemd-networkd को केवल /etc/networkd-dispatcher निर्देशिका में स्थित सिस्टम हैंडलर स्क्रिप्ट को चलाने के लिए डिज़ाइन किया गया है और उपयोगकर्ता प्रतिस्थापन के लिए पहुंच योग्य नहीं है, लेकिन फ़ाइल पथ प्रसंस्करण कोड में एक भेद्यता (CVE-2022-29799) के कारण, एक था आउट-ऑफ़-बाउंड बेस निर्देशिका और मनमानी स्क्रिप्ट लॉन्च करने की संभावना। विशेष रूप से, स्क्रिप्ट के लिए फ़ाइल पथ बनाते समय, डी-बस के माध्यम से प्रेषित ऑपरेशनलस्टेट और एडमिनिस्ट्रेटिवस्टेट मानों का उपयोग किया गया था, जिसमें विशेष वर्ण साफ़ नहीं किए गए थे। हमलावर अपना स्वयं का राज्य उत्पन्न कर सकता है, जिसके नाम में "../" अक्षर शामिल हैं और नेटवर्कडी-डिस्पैचर कॉल को किसी अन्य निर्देशिका पर रीडायरेक्ट कर सकता है।

दूसरी भेद्यता (सीवीई-2022-29800) दौड़ की स्थिति से संबंधित है - स्क्रिप्ट पैरामीटर (रूट से संबंधित) की जांच करने और इसे चलाने के बीच, थोड़ी सी अवधि थी, जो फ़ाइल को बदलने और चेक को बायपास करने के लिए पर्याप्त थी। स्क्रिप्ट रूट उपयोगकर्ता की है। इसके अलावा, नेटवर्कडी-डिस्पैचर ने उपप्रोसेस.पोपेन कॉल के माध्यम से स्क्रिप्ट चलाने सहित प्रतीकात्मक लिंक की जांच नहीं की, जिसने हमले के संगठन को काफी सरल बना दिया।

परिचालन तकनीक:

• एक निर्देशिका "/tmp/nimbuspwn" और एक प्रतीकात्मक लिंक "/tmp/nimbuspwn/poc.d" निर्देशिका "/sbin" की ओर इशारा करते हुए बनाई जाती है, जिसका उपयोग रूट के स्वामित्व वाली निष्पादन योग्य फ़ाइलों की जांच करने के लिए किया जाता है।
• "/sbin" से निष्पादन योग्य फ़ाइलों के लिए, समान नाम वाली फ़ाइलें "/tmp/nimbuspwn" निर्देशिका में बनाई जाती हैं, उदाहरण के लिए, फ़ाइल "/sbin/vgs" के लिए एक निष्पादन योग्य फ़ाइल "/tmp/nimbuspwn/vgs" है बनाया गया, जिसका स्वामित्व एक विशेषाधिकार प्राप्त उपयोगकर्ता के पास है, जिसमें वह कोड रखा गया है जिसे हमलावर चलाना चाहता है।
• डी-बस के माध्यम से नेटवर्क-डिस्पैचर प्रक्रिया में एक सिग्नल भेजा जाता है जो ऑपरेशनलस्टेट में "../../../tmp/nimbuspwn/poc" मान को दर्शाता है। नेमस्पेस "org.freedesktop.network1" में एक सिग्नल भेजने के लिए, इसके हैंडलर्स को systemd-networkd से कनेक्ट करने की क्षमता का उपयोग किया गया था, उदाहरण के लिए, gpgv या epmd के साथ हेरफेर के माध्यम से, या आप इस तथ्य का लाभ उठा सकते हैं कि systemd-networkd डिफ़ॉल्ट रूप से नहीं चल रहा है (उदाहरण के लिए, लिनक्स मिंट पर)।
• सिग्नल प्राप्त करने के बाद, नेटवर्कड-डिस्पैचर रूट उपयोगकर्ता के स्वामित्व वाली निष्पादन योग्य फ़ाइलों की एक सूची बनाता है और निर्देशिका "/etc/networkd-dispatcher/../../../tmp/nimbuspwn/poc.d" में उपलब्ध है। जो वास्तव में "/sbin" से लिंक है।
• उस समय जब फ़ाइलों की सूची प्राप्त होती है, लेकिन स्क्रिप्ट अभी तक लॉन्च नहीं हुई है, प्रतीकात्मक लिंक "/tmp/nimbuspwn/poc.d" से "/tmp/nimbuspwn" पर रीडायरेक्ट किया जाता है और नेटवर्कडी-डिस्पैचर लॉन्च करेगा हमलावर द्वारा रूट अधिकारों के साथ होस्ट की गई स्क्रिप्ट।

स्रोत: opennet.ru