L'azienda Qualys ha identificato una terza vulnerabilit\u00e0 critica quest'anno (CVE-2022-3328) nell'utility snap-confine, fornita con il flag SUID root e invocata dal processo snapd per creare un ambiente di esecuzione per le applicazioni distribuite in pacchetti autonomi nel formato snap. La vulnerabilit\u00e0 consente a un utente non privilegiato locale di eseguire codice con i diritti di root nella configurazione predefinita di Ubuntu. Il problema \u00e8 stato risolto con il rilascio di snapd 2.57.6. Sono stati rilasciati aggiornamenti dei pacchetti per tutti i rami supportati di Ubuntu. <\/p>\n
\u00c8 interessante notare che la vulnerabilit\u00e0 in questione \u00e8 stata introdotta durante la correzione di una vulnerabilit\u00e0 simile riscontrata a febbraio in snap-confine. I ricercatori sono riusciti a preparare un exploit funzionante che fornisce accesso root su Ubuntu Server 22.04, dove oltre alla vulnerabilit\u00e0 in snap-confine sono state coinvolte anche due vulnerabilit\u00e0 nel processo multipathd (CVE-2022-41974, CVE-2022-41973), legate all'aggiramento del controllo delle autorizzazioni durante la trasmissione di comandi privilegiati e a una gestione insicura dei collegamenti simbolici. <\/p>\n
La vulnerabilit\u00e0 in snap-confine \u00e8 dovuta a una condizione di competizione nella funzione must_mkdir_and_open_with_perms(), aggiunta per prevenire la sostituzione della directory \/tmp\/snap.$SNAP_NAME con un collegamento simbolico nel momento successivo al controllo del proprietario, ma prima della chiamata al sistema per il montaggio bind. La protezione aggiunta consisteva nel rinominare la directory \/tmp\/snap.$SNAP_NAME in un'altra directory in \/tmp con un nome casuale, se esiste e non appartiene all'utente root. <\/p>\n
Durante l'esecuzione dell'operazione di rinominazione della directory \/tmp\/snap.$SNAP_NAME, i ricercatori hanno sfruttato il fatto che snap-confine crea anche una directory \/tmp\/snap.rootfs_XXXXXX per la root del contenuto del pacchetto snap. La parte \u00abXXXXXX\u00bb nel nome viene scelta casualmente tramite mkdtemp(), ma un pacchetto con il nome \u00abrootfs_XXXXXX\u00bb pu\u00f2 superare il controllo nella funzione sc_instance_name_validate (cio\u00e8, l'idea \u00e8 che il nome $SNAP_NAME assuma il valore \u00abrootfs_XXXXXX\u00bb, e quindi l'operazione di rinominazione porter\u00e0 alla sovrascrittura della directory \/tmp\/snap.rootfs_XXXXXX con la root snap). <\/p>\n
Per ottenere un utilizzo simultaneo di \/tmp\/snap.rootfs_XXXXXX e il rinominamento di \/tmp\/snap.$SNAP_NAME, sono stati avviati due esempi di snap-confine. Non appena il primo esempio creava \/tmp\/snap.rootfs_XXXXXX, il processo veniva bloccato e si avviava il secondo esempio con il nome del pacchetto rootfs_XXXXXX, il che portava al fatto che la directory temporanea \/tmp\/snap.$SNAP_NAME del secondo esempio diventava la directory radice \/tmp\/snap.rootfs_XXXXXX del primo. Subito dopo l'esecuzione del rinominamento, il secondo esempio terminava in modo anomalo e \/tmp\/snap.rootfs_XXXXXX veniva sostituito mediante la manipolazione della condizione di gara, come nell'exploit della vulnerabilit\u00e0 di febbraio. Dopo la sostituzione, veniva rimossa la blocco di esecuzione del primo esempio e gli attaccanti ottenevano il pieno controllo sulla directory radice snap. <\/p>\n