פגיעות במנהל החבילות של Guix מאפשרת ביצוע קוד מרחוק.

פגיעויות (CVE לא הוקצה) זוהו במנהל החבילות של Guix במימוש הפקודה הפנימית "guix substitute", אשר מופעלת אוטומטית על ידי תהליך הרקע guix-daemon במהלך התקנות חבילות. הפקודה משמשת להורדת חבילות בינאריות מוכנות מראש משרתים חיצוניים ולאימות שלמותן באמצעות חתימה דיגיטלית. הפגיעות החמורה ביותר מאפשרת ביצוע קוד מרחוק במערכת של משתמש עם ההרשאות שתחתיהן פועל תהליך הרקע guix-daemon.

הבעיה משפיעה על כל התצורות עם תהליך guix-daemon, בין אם הוא פועל עם הרשאות משתמש root או ללא הרשאות. ניצול הפגיעות דורש כל ניסיון להוריד חבילות בינאריות מוכנות מראש מ- שרת, הנשלט על ידי התוקף. במקרה זה, הגורם הזדוני שרת אין צורך לבחור או לציין זאת במפורש בהגדרות המשתמש - ניתן להגדיר זאת באמצעות האפשרות "--discover", המאפשרת התחזות לשרת במהלך מתקפת man-in-the-middle. בתצורות בהן guix-daemon פועל עם הרשאות מוגברות, משתמש מקומי יכול לבצע מתקפה אם הוא יכול להתחבר לתהליך ברקע דרך שקע יוניקס (זמין לכל המשתמשים כברירת מחדל).

הפגיעות קיימת במטפל "restore-file", המשמש לפריקת חבילה בזמן הורדתה, מבלי להמתין להורדתה המלאה ולאימות הארכיון שהורד באמצעות חתימה דיגיטלית. הבעיה נגרמת עקב חוסר בבדיקות לתווים ".", "/" ו-".." בנתיבי קבצים בתוך הארכיון. על ידי החלפת שמות קבצים לא חוקיים בארכיון, תוקף יכול לכתוב קובץ שרירותי לכל מיקום במערכת הקבצים, בכפוף להרשאות שתחתיהן פועל תהליך הרקע guix-daemon.

כדי לבצע את הקוד שלך במערכת, לדוגמה, תוכל להוסיף סקריפט הפעלה אוטומטית כגון "~/.bashrc" או ~/.profile, או לשנות את הקובץ ~/.ssh/authorized_keys המכיל את מפתחות SSH. אם guix-daemon פועל כמשתמש root במערכת מרובת משתמשים, תוקף יכול לדרוס את קובץ הסיסמה או את סקריפטי המערכת.

היכולת ליצור שרתים מזויפים להפצת חבילות זדוניות נבעה מהעובדה שהליך הורדת המטא-דאטה (narinfo) אודות חבילות בינאריות זמינות (fetch-narinfos) לא אימת את אישור השרת, תוך הסתמכות על כך שרוב המטא-דאטה היה חתום דיגיטלית. כפי שהתברר, החתימה לא כיסתה את כתובת ה-URL להורדת החבילה, מה שאפשר זיוף שלה מבלי לפגוע בשלמות המטא-דאטה. בסופו של דבר, החבילה המזויפת הייתה נדחית עקב כשל באימות תוכנה מול ה-hash החתום דיגיטלית. עם זאת, אימות זה בוצע לאחר שלב הפעולה, מה שחשף בעיה בתווים מיוחדים בשמות קבצים.

בנוסף לפקודת "guix substitute", המטפל הפגיע "restore-file" משמש את הפקודות "guix offload", "guix archive --extract" ו-"guix challenge", שגם בהן ניתן להשתמש כדי לנצל את הפגיעות. כפתרון עוקף, מוצע לציין במפורש את האפשרות "--no-substitutes" בכל פקודות guix. תיקון לפגיעות התקבל בבסיס הקוד של Guix. מומלץ למשתמשים להתקין באופן מיידי את העדכונים שנוצרו על ידי המפתחים עבור guix ו-guix-daemon.

בנוסף לבעיה שצוינה, תוקנו שלוש פגיעויות נוספות ב-Guix:

• אפשרות לזיוף חבילות בינאריות עקב חוסר אימות של תאימות החבילה המבוקשת למטא-דאטה שהוחזר בטיפול fetch-narinfos. ניתן לנצל פגיעות זו כדי להחזיר גרסה מיושנת של החבילה המבוקשת המכילה פגיעויות.
• קביעת תוכן השורה הראשונה של קבצים שרירותיים במערכת על ידי שליחת בקשה ממשתמש מקומי עם ה-URI "file://" ("--substitute-urls file:///etc/shadow"). אם guix-daemon פועל עם הרשאות root, הוא יקרא את הקובץ המבוקש, יקבע שאינו מטא-דאטה ויחזיר הודעת שגיאה המציינת את השורה שלא ניתן היה לנתח.
• ציון שם מאגר חיצוני בעל מבנה מיוחד ("../../../../newfile") בעת ביצוע הפקודות "guix pull" ו-"guix time-machine" מאפשר כתיבת מידע commit לקובץ קיים שרירותי במערכת הקבצים אם תוכנו דומה לרשימה של מחרוזות Scheme. ניתן להשתמש בפגיעות זו עבור התקפות DoS, אך ייתכן שניתן להשיג מניפולציות מערכת מסוכנות יותר באמצעות מניפולציה חכמה של מערכת הקבצים המדומה /proc.

מקור: OpenNet.ru