ओपनबीएसडी विशेषाधिकार वृद्धि और प्रमाणीकरण smtpd, ldapd और Radiusd में कमजोरियों को बायपास करता है

क्वालिस कंपनी प्रकट किया चार कमजोरियों ओपनबीएसडी में, जिनमें से एक आपको प्रमाणीकरण के बिना कुछ नेटवर्क सेवाओं से दूरस्थ रूप से जुड़ने की अनुमति देता है, और अन्य तीन सिस्टम में आपके विशेषाधिकार बढ़ाते हैं। क्वालिस रिपोर्ट में ओपनबीएसडी डेवलपर्स की त्वरित प्रतिक्रिया का उल्लेख किया गया - सभी समस्याएं थीं सफाया в ओपनबीएसडी 6.5 и ओपनबीएसडी 6.6 निजी अधिसूचना के बाद 40 घंटे के भीतर.

दूरस्थ रूप से शोषण योग्य भेद्यता libc लाइब्रेरी में प्रमाणीकरण हैंडलर को कॉल करने में त्रुटि के कारण होती है, जो कॉल करता है
प्रोग्राम /usr/libexec/auth/login_style कमांड लाइन पर तर्क पारित कर रहा है। वैकल्पिक पैरामीटर "-s सेवा" का उपयोग करके लॉगिन_स्टाइल को कॉल करते समय, प्रोटोकॉल नाम को स्थानांतरित करना संभव है। यदि आप उपयोगकर्ता नाम की शुरुआत में "-" वर्ण का उपयोग करते हैं, तो लॉगिन_स्टाइल चलाते समय इस नाम को एक विकल्प के रूप में माना जाएगा। तदनुसार, यदि आप प्रमाणीकरण के दौरान उपयोगकर्ता नाम के रूप में "-schallenge" या "-schallenge:passwd" निर्दिष्ट करते हैं, तो log_style हैंडलर का उपयोग करने के अनुरोध के रूप में अनुरोध को समझेगा एस/कुंजी.

समस्या यह है कि लॉगिन_स्टाइल में एस/की प्रोटोकॉल केवल औपचारिक रूप से समर्थित है, लेकिन वास्तव में सफल प्रमाणीकरण के संकेत के आउटपुट के साथ इसे नजरअंदाज कर दिया जाता है। इस प्रकार, एक हमलावर, उपयोगकर्ता के रूप में "-चुनौती" प्रस्तुत करके, प्रमाणीकरण को बायपास कर सकता है और पासवर्ड या कुंजी प्रदान किए बिना पहुंच प्राप्त कर सकता है। प्रमाणीकरण के लिए मानक libc कॉल का उपयोग करने वाली सभी नेटवर्क सेवाएँ संभावित रूप से समस्या से प्रभावित हैं। उदाहरण के लिए, प्रमाणीकरण को बायपास करने की क्षमता smtpd (AUTH PLAIN), ldapd और Radiusd में समर्थित है।

sshd में भेद्यता प्रकट नहीं होती है, क्योंकि इसमें अतिरिक्त सुरक्षा होती है जो सिस्टम में उपयोगकर्ता की उपस्थिति की जाँच करती है। हालाँकि, sshd का उपयोग किसी सिस्टम की भेद्यता का परीक्षण करने के लिए किया जा सकता है - उपयोगकर्ता नाम "-sresponse:passwd" तक पहुँचने पर, कनेक्शन हैंग हो जाता है, क्योंकि sshd चुनौती मापदंडों को वापस करने के लिए log_passwd की प्रतीक्षा कर रहा है, और log_passwd लापता मापदंडों की प्रतीक्षा कर रहा है भेजा जाए (नाम "- प्रतिक्रिया" को एक विकल्प के रूप में माना जाता है)। एक स्थानीय हमलावर संभावित रूप से सु उपयोगिता में प्रमाणीकरण को बायपास करने का प्रयास कर सकता है, लेकिन "-sresponse" नाम पारित करने से getpwnam_r("-schallenge", ...) फ़ंक्शन निष्पादित करते समय एक शून्य सूचक लौटने से प्रक्रिया क्रैश हो जाती है।

अन्य कमजोरियाँ:

• CVE-2019-19520 समूह को "auth" में बदलने वाले sgid ध्वज के साथ आपूर्ति की गई xlock उपयोगिता में हेरफेर के माध्यम से स्थानीय विशेषाधिकार वृद्धि। एक्सलॉक कोड में, पुस्तकालयों के लिए पथों को फिर से परिभाषित करना केवल तभी निषिद्ध है जब उपयोगकर्ता पहचानकर्ता (सेटुइड) बदल दिया जाता है, जो हमलावर को पर्यावरण चर "LIBGL_DRIVERS_PATH" को बदलने और उसकी साझा लाइब्रेरी की लोडिंग को व्यवस्थित करने की अनुमति देता है, जिसका कोड निष्पादित किया जाएगा। "ऑथ" समूह के विशेषाधिकार बढ़ाने के बाद।
• CVE-2019-19522 - एक स्थानीय उपयोगकर्ता को जो "auth" समूह का सदस्य है, सिस्टम पर S/Key या YubiKey प्रमाणीकरण सक्षम होने पर कोड को रूट के रूप में चलाने की अनुमति देता है (डिफ़ॉल्ट रूप से सक्रिय नहीं)। "auth" समूह में शामिल होने से, जिसे xlock में उपर्युक्त भेद्यता का फायदा उठाकर पहुँचा जा सकता है, आपको /etc/skey और /var/db/yubikey निर्देशिकाओं में फ़ाइलें लिखने की अनुमति देता है। उदाहरण के लिए, एक हमलावर S/Key के माध्यम से रूट उपयोगकर्ता के रूप में प्रमाणीकरण के लिए एक-बार कुंजी उत्पन्न करने के लिए एक नई फ़ाइल /etc/skey/root जोड़ सकता है।
• CVE-2019-19519 - सु उपयोगिता में हेरफेर के माध्यम से संसाधन सीमा बढ़ाने की संभावना। जब "-L" विकल्प निर्दिष्ट किया जाता है, जिसके कारण प्रमाणीकरण प्रयास असफल होने पर चक्रीय रूप से दोहराए जाते हैं, तो उपयोगकर्ता वर्ग केवल एक बार सेट किया जाता है और बाद के प्रयासों पर रीसेट नहीं किया जाता है। एक हमलावर एक अलग खाता वर्ग के साथ किसी और के लॉगिन में प्रवेश करने के पहले प्रयास में "su -l -L" निष्पादित कर सकता है, लेकिन दूसरे प्रयास में वह सफलतापूर्वक खुद को प्रमाणित कर सकता है। इस स्थिति में, उपयोगकर्ता पहले प्रयास में निर्दिष्ट उपयोगकर्ता वर्ग के आधार पर सीमाओं के अधीन होगा (उदाहरण के लिए, किसी प्रक्रिया के लिए प्रक्रियाओं की अधिकतम संख्या या मेमोरी आकार)। यह विधि केवल वंचित उपयोगकर्ताओं से सीमा उधार लेने के लिए काम करती है, क्योंकि रूट उपयोगकर्ता को व्हील समूह में होना चाहिए)।

साथ ही इसे नोट भी किया जा सकता है कार्यान्वयन ओपनबीएसडी में, सिस्टम कॉल की वैधता की जांच करने के लिए एक नई विधि, जो कमजोरियों के शोषण को और जटिल बनाती है। यह विधि सिस्टम कॉल को केवल तभी निष्पादित करने की अनुमति देती है यदि उन्हें पहले से पंजीकृत मेमोरी क्षेत्रों से एक्सेस किया गया हो। स्मृति क्षेत्रों को चिह्नित करने के लिए प्रस्तावित नया सिस्टम कॉल msyscall().

स्रोत: opennet.ru