Nel plugin NetworkManager-libreswan, che aggiunge a NetworkManager la funzionalità per connettersi a VPN compatibili con i server basati su Libreswan e Cisco IPsec, è stata identificata una vulnerabilità (CVE-2024-9050) che può essere usata per elevare i privilegi di un utente locale. La vulnerabilità è stata risolta nell'aggiornamento di NetworkManager-libreswan 1.2.24. È possibile tenere traccia delle uscite di aggiornamenti nelle distribuzioni sulle seguenti pagine: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora.
Il problema è causato da un controllo errato della configurazione VPN, definita da un utente locale non privilegiato e trasmessa direttamente a Libreswan durante il tentativo di attivare la connessione. In particolare, nel plugin non è stato eseguito il controllo dell'uso di caratteri di escape, come il ritorno a capo "\n", che potrebbero essere utilizzati per separare le singole impostazioni indicate in una sola riga.
Соответственно, атакующий мог указать в составе одного из разрешённых параметров параметр «leftupdown», запрещённый для непривилегированных пользователей и задающий скрипт, выполняемый с правами root в процессе установки соединения. Например, для запуска программы /bin/true к разрешённому параметру «hostaddrfamily» можно прикрепить следующие настойки: hostaddrfamily=ipv4\n leftupdown=/bin/true\n ikev2=never\n leftxauthclient=yes\n leftusername=username\n phase2alg=aes256-sha1\n authby=secret\n left=%defaultroute\n leftmodecfgclient=yes\n right=172.31.79.2\nconn ign
Un'altra vulnerabilità è stata identificata nel processo in background guix-daemon, utilizzato nelle distribuzioni basate sul gestore di pacchetti GNU Guix. La vulnerabilità rappresenta un rischio per i sistemi multutente e consente a un utente locale di ottenere privilegi di qualsiasi utente che esegue operazioni di compilazione (build user) e di apportare modifiche ai risultati di tale compilazione. Il problema risiede nel fatto che un attaccante può avviare una compilazione derivata e, se il processo di compilazione viene interrotto, i file suid già creati rimarranno accessibili agli altri utenti del sistema. Successivamente, l'attaccante può sfruttare i file suid creati per sospendere il processo di compilazione, aprire qualsiasi file tramite /proc/$PID/fd con i diritti dell'utente che esegue la compilazione e sovrascrivere i file con i risultati della compilazione.
Fonte: opennet.ru
