A PAM-modulban pam_oath, amely az oath-toolkit csomag része, és a kétfaktoros hitelesítéshez használt egyszeri jelszavak (OTP) alkalmazásakor használják, sebezhetőséget (CVE-2024-47191) találtak, amely lehetővé teszi egy nem privilegizált felhasználó számára, hogy root hozzáférést szerezzen a rendszerben.
A pam_oath modul root jogosultságokkal fut, és eredetileg az OATH kulcsok tárolására az /etc/users.oath fájlban volt tervezve, amelyhez csak a root felhasználó fér hozzá. Az oath-toolkit 2.6.7-es verziójában hozzáadták a fájlok felhasználói otthoni könyvtárakban (~/.config/users.oath) való elhelyezésének támogatását. A nem privilegizált felhasználók lehetőséget kaptak kulcsaik fájljainak módosítására, de a pam_oath nem csökkentette a jogosultságait, amikor ezekhez a fájlokhoz nyúlt, és továbbra is nem biztonságos fájlmódszereket alkalmazott, amelyek arra lettek tervezve, hogy a fájlok egy olyan könyvtárban találhatók, amely nem módosítható.
A sebezhetőséget az okozza, hogy minden sikeres egyszeri jelszóval történő hitelesítés után a pam_oath felülírta a kulcsokat tartalmazó fájlt, hogy megakadályozza ugyanazon jelszó többszöri használatát. A felülírás művelete a következőkből állt: egy zárolófájl létrehozása ugyanabban a könyvtárban, az új tartalom rögzítése egy „.new” kiterjesztésű fájlba, majd a régi fájl új változatra való cseréje. A „.new” kiterjesztésű fájl ugyanazokkal a jogosultságokkal készült, mint a célfájl, de a hozzá írás a root jogosultságokkal rendelkező folyamattal történt, a fájl létezésének ellenőrzése nélkül.
Ha a fájl a rendszer könyvtárában helyezkedett el, nem merült fel probléma, de amikor megjelent a fájlok felhasználói otthoni könyvtárakban való elhelyezésének támogatása, egy könnyen kihasználható sebezhetőség keletkezett. A támadáshoz elegendő egy szimbolikus link létrehozása a „~/.config/oath.secrets.new” néven, és azt bármely rendszerfájlra irányítani, amely felül lesz írva a sikeres hitelesítés után.
A root hozzáférés megszerzéséhez a szimbolikus linket a /etc/shadow fájlra lehet irányítani. Ekkor a pam_oath beírja a /etc/shadow fájlba a kulcsok aktuális listáját, és szinkronizálja a tulajdonost és a jogosultságokat a users.oath fájléval. Mivel a users.oath fájl a felhasználóhoz tartozik, a /etc/shadow tulajdonosaként ez a felhasználó lesz beállítva, így a támadó szerkesztheti a /etc/shadow fájlt, és új bejelentkezési adatokat írhat be a root fiókhoz.
A sebezhetőség az oath-toolkit 2.6.7 kiadásától kezdve jelentkezik, és a 2.6.12 verzióban (1,2,3) lett kijavítva. A sebezhetőség kijavítását a különböző disztribúciókban a következő oldalakon lehet nyomon követni: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch. A sebezhetőség csak azokkal a konfigurációkkal áll fenn, ahol engedélyezett a kulcsfájlok elhelyezése a felhasználói könyvtárakban, például PAM beállítások esetén, ahol a következő sor található: "auth [user_unknown=ignore success=ok] pam_oath.so usersfile=${HOME}/user.oath".
Továbbá említésre méltó a közelmúltban felfedezett sebezhetőség (CVE-2024-9313) a PAM modult illetően, amely az Authd csomag része, amelyet az Ubuntu projekt fejleszt. A sebezhetőség lehetővé teszi, hogy egy Authd broker által kezelt felhasználó más felhasználóként azonosítsa magát, aki szintén e broker által van kezelve, és sikeresen autentikáljon su, sudo vagy ssh használatával egy másik felhasználóként. A probléma az Authd 0.3.5 verziójában került kijavításra.
Forrás: opennet.ru
