L'azienda Qualys ha identificato la terza vulnerabilit\u00e0 critica di quest'anno (CVE-2022-3328) nell'utility snap-confine, fornita con il flag SUID root e chiamata dal processo snapd per creare un ambiente di esecuzione per le applicazioni distribuite in pacchetti autonomi nel formato snap. Questa vulnerabilit\u00e0 consente a un utente locale non privilegiato di eseguire codice con diritti di root nella configurazione predefinita di Ubuntu. Il problema \u00e8 stato risolto nella versione snapd 2.57.6. Sono stati rilasciati aggiornamenti per tutti i rami supportati di Ubuntu. <\/p>\n
\u00c8 interessante notare che la vulnerabilit\u00e0 in questione \u00e8 stata introdotta durante la correzione di una vulnerabilit\u00e0 simile riscontrata a febbraio in snap-confine. I ricercatori sono riusciti a preparare un exploit funzionante che fornisce accesso root su Ubuntu Server 22.04, in cui oltre alla vulnerabilit\u00e0 in snap-confine sono coinvolte anche due vulnerabilit\u00e0 nel processo multipathd (CVE-2022-41974, CVE-2022-41973), relative all'aggiramento della verifica delle autorizzazioni durante l'invio di comandi privilegiati e alla gestione non sicura dei collegamenti simbolici. <\/p>\n
La vulnerabilit\u00e0 in snap-confine \u00e8 causata da una condizione di race nella funzione must_mkdir_and_open_with_perms(), aggiunta per proteggere dalla sostituzione della directory \/tmp\/snap.$SNAP_NAME con un collegamento simbolico dopo la verifica del proprietario, ma prima della chiamata di sistema mount per il bind-mount delle directory del pacchetto nel formato snap. La protezione aggiunta consisteva nel rinominare la directory \/tmp\/snap.$SNAP_NAME in un'altra directory in \/tmp con un nome casuale, se esiste e non appartiene all'utente root. <\/p>\n
Durante l'exploitation dell'operazione di rinominazione della directory \/tmp\/snap.$SNAP_NAME, i ricercatori hanno sfruttato il fatto che snap-confine crea anche una directory \/tmp\/snap.rootfs_XXXXXX per il contenuto principale del pacchetto snap. La parte \"XXXXXX\" nel nome \u00e8 scelta casualmente utilizzando mkdtemp(), ma un pacchetto con il nome \"rootfs_XXXXXX\" pu\u00f2 superare il controllo nella funzione sc_instance_name_validate (cio\u00e8, l'idea \u00e8 che il nome $SNAP_NAME assuma il valore \"rootfs_XXXXXX\" e quindi l'operazione di rinominazione porter\u00e0 alla sovrascrittura della directory \/tmp\/snap.rootfs_XXXXXX con il root dello snap). <\/p>\n
Per ottenere l'utilizzo simultaneo di \/tmp\/snap.rootfs_XXXXXX e la rinomina di \/tmp\/snap.$SNAP_NAME, sono stati avviati due istanze di snap-confine. Non appena la prima istanza creava \/tmp\/snap.rootfs_XXXXXX, il processo si bloccava e veniva avviata la seconda istanza con il nome del pacchetto rootfs_XXXXXX, il che portava a far s\u00ec che la cartella temporanea \/tmp\/snap.$SNAP_NAME della seconda istanza diventasse la cartella radice \/tmp\/snap.rootfs_XXXXXX della prima. Subito dopo l'esecuzione della rinominazione, la seconda istanza terminava in modo anomalo e \/tmp\/snap.rootfs_XXXXXX veniva sostituito con una manipolazione della condizione di competizione, come nella sfruttazione della vulnerabilit\u00e0 di febbraio. Dopo la sostituzione, veniva rimossa la restrizione di esecuzione della prima istanza e gli aggressori ottenevano il pieno controllo sulla cartella radice dello snap. <\/p>\n