פגיעות ב-systemd-coredump המאפשרת לקבוע את תוכן הזיכרון של תוכניות suid

זוהתה פגיעות (CVE-2022-4415) ברכיב systemd-coredump, המעבד קבצי ליבה שנוצרו לאחר קריסת תהליכים, מה שמאפשר למשתמש מקומי ללא הרשאות לקבוע את תוכן הזיכרון של תהליכים מורשים הפועלים עם דגל השורש suid. בעיית תצורת ברירת המחדל אושרה בהפצות openSUSE, Arch, Debian, Fedora ו-SLES.

הפגיעות נגרמת מהיעדר עיבוד נכון של הפרמטר sysctl fs.suid_dumpable ב-systemd-coredump, שכאשר מוגדר לערך ברירת המחדל של 2, מאפשר יצירת dump הליבה עבור תהליכים עם דגל suid. מובן שלקובצי הליבה של תהליכי suid שנכתבו על ידי הליבה חייבות להיות זכויות גישה מוגדרות כדי לאפשר קריאה רק על ידי משתמש השורש. כלי השירות systemd-coredump, הנקרא על ידי הליבה כדי לשמור קבצי ליבה, מאחסן את קובץ הליבה תחת מזהה השורש, אך בנוסף מספק גישת קריאה מבוססת ACL לקבצי הליבה בהתבסס על המזהה של הבעלים שהשיק את התהליך במקור. .

תכונה זו מאפשרת לך להוריד קבצי ליבה מבלי להתחשב בעובדה שהתוכנית יכולה לשנות את מזהה המשתמש ולהפעיל עם הרשאות גבוהות. המתקפה מסתכמת בעובדה שמשתמש יכול להפעיל אפליקציית suid ולשלוח לה אות SIGSEGV, ולאחר מכן לטעון את התוכן של קובץ ליבה, הכולל פרוסת זיכרון מהתהליך במהלך סיום חריג.

לדוגמה, משתמש יכול להריץ "/usr/bin/su" ובטרמינל אחר לסיים את הביצוע שלו עם הפקודה "kill -s SIGSEGV `pidof su`", ולאחר מכן systemd-coredump ישמור את קובץ הליבה ב-/var /lib/systemd/ coredump, הגדרת ACL עבורה המאפשר קריאה על ידי המשתמש הנוכחי. מכיוון שתוכנית השירות suid 'su' קורא את התוכן של /etc/shadow לתוך הזיכרון, תוקף יכול לקבל גישה למידע על ה-hash של הסיסמה של כל המשתמשים במערכת. כלי השירות sudo אינו רגיש להתקפה, מכיוון שהוא אוסר על יצירת קבצי ליבה באמצעות ulimit.

לטענת מפתחי systemd, הפגיעות מופיעה החל מגרסה 247 של systemd (נובמבר 2020), אך לדברי החוקר שזיהה את הבעיה, מושפעת גם מהדורה 246. הפגיעות מופיעה אם systemd מורכב עם ספריית libacl (כברירת מחדל ב- כל ההפצות הפופולריות). התיקון זמין כרגע כתיקון. אתה יכול לעקוב אחר התיקונים בהפצות בעמודים הבאים: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Gentoo, Arch. כפתרון אבטחה, אתה יכול להגדיר את sysctl fs.suid_dumpable ל-0, אשר משבית את שליחת ה-dumps למטפל systemd-coredump.

מקור: OpenNet.ru