Guix პაკეტების მენეჯერში არსებული დაუცველობა კოდის დისტანციურად შესრულების საშუალებას იძლევა.

დაუცველობები (CVE არ არის მინიჭებული) გამოვლინდა Guix პაკეტების მენეჯერში შიდა „guix substitute“ ბრძანების იმპლემენტაციისას, რომელიც ავტომატურად იძახება guix-daemon ფონური პროცესის მიერ პაკეტების ინსტალაციის დროს. ბრძანება გამოიყენება გარე სერვერებიდან წინასწარ აწყობილი ორობითი პაკეტების ჩამოსატვირთად და მათი მთლიანობის დასადასტურებლად ციფრული ხელმოწერის გამოყენებით. ყველაზე სერიოზული დაუცველობა საშუალებას იძლევა მომხმარებლის სისტემაზე დისტანციურად შესრულდეს კოდი იმ პრივილეგიებით, რომლითაც მუშაობს guix-daemon ფონური პროცესი.

პრობლემა გავლენას ახდენს guix-daemon პროცესის ყველა კონფიგურაციაზე, მიუხედავად იმისა, მუშაობს თუ არა ის root-ის უფლებებით თუ არაპრივილეგირებული მომხმარებლის უფლებებით. დაუცველობის ექსპლუატაცია მოითხოვს წინასწარ აგებული ორობითი პაკეტების ჩამოტვირთვის ნებისმიერ მცდელობას. სერვერი, რომელსაც თავდამსხმელი აკონტროლებს. ამ შემთხვევაში, მავნე სერვერზე მისი მომხმარებლის პარამეტრებში ცალსახად შერჩევა ან მითითება აუცილებელი არ არის — მისი განსაზღვრა შესაძლებელია „--discover“ ოფციის გამოყენებით, რომელიც საშუალებას იძლევა სერვერის იმპერსონაცია განხორციელდეს შუამავალი ადამიანის შეტევის დროს. კონფიგურაციებში, სადაც guix-daemon მუშაობს ამაღლებული პრივილეგიებით, ლოკალურ მომხმარებელს შეუძლია შეტევის განხორციელება, თუ მას შეუძლია ფონურ პროცესთან დაკავშირება Unix სოკეტის საშუალებით (ხელმისაწვდომია ყველა მომხმარებლისთვის ნაგულისხმევად).

დაუცველობა არსებობს „restore-file“-ის დამმუშავებელში, რომელიც გამოიყენება პაკეტის გასახსნელად მისი ჩამოტვირთვისას, მისი სრულად ჩამოტვირთვისა და ჩამოტვირთული არქივის ციფრული ხელმოწერით დადასტურების მოლოდინის გარეშე. პრობლემა გამოწვეულია არქივში ფაილის ბილიკებზე „.“, „/“ და „..“ სიმბოლოების შემოწმების არარსებობით. არქივში არასწორი ფაილების სახელების ჩანაცვლებით, თავდამსხმელს შეუძლია ჩაწეროს ნებისმიერი ფაილი ფაილურ სისტემაში ნებისმიერ ადგილას, იმ ნებართვების გათვალისწინებით, რომლითაც მუშაობს guix-daemon ფონური პროცესი.

მაგალითად, სისტემაზე თქვენი კოდის შესასრულებლად, შეგიძლიათ დაამატოთ autorun სკრიპტი, როგორიცაა "~/.bashrc" ან ~/.profile, ან შეცვალოთ SSH გასაღებების შემცველი ~/.ssh/authorized_keys ფაილი. თუ guix-daemon მრავალმომხმარებლიან სისტემაზე root მომხმარებლის სახელით მუშაობს, თავდამსხმელს შეუძლია პაროლის ფაილის ან სისტემის სკრიპტების გადაწერა.

მავნე პაკეტების გასავრცელებლად ყალბი სერვერების შექმნის შესაძლებლობა განპირობებული იყო იმით, რომ ხელმისაწვდომი ბინარული პაკეტების შესახებ მეტამონაცემების (narinfo) ჩამოტვირთვის პროცედურა (fetch-narinfos) არ ადასტურებდა სერვერის სერტიფიკატს, იმ ფაქტზე დაყრდნობით, რომ მეტამონაცემების უმეტესობა ციფრულად იყო ხელმოწერილი. როგორც აღმოჩნდა, ხელმოწერა არ ფარავდა პაკეტის ჩამოტვირთვის URL-ს, რაც საშუალებას იძლეოდა მისი გაყალბების, მეტამონაცემების მთლიანობის დარღვევის გარეშე. საბოლოო ჯამში, ყალბი პაკეტი უარყოფილი იქნებოდა მისი შინაარსის ციფრულად ხელმოწერილ ჰეშთან ვერიფიკაციის შეუძლებლობის გამო. თუმცა, ეს დადასტურება განხორციელდა გახსნის ეტაპის შემდეგ, რამაც გამოავლინა პრობლემა ფაილის სახელებში სპეციალურ სიმბოლოებთან დაკავშირებით.

„guix substitute“ ბრძანების გარდა, დაუცველი „restore-file“ დამმუშავებელი გამოიყენება „guix offload“, „guix archive --extract“ და „guix challenge“ ბრძანებებით, რომლებიც ასევე შეიძლება გამოყენებულ იქნას დაუცველობის გამოსაყენებლად. პრობლემის გადაჭრის მიზნით, შემოთავაზებულია ყველა guix ბრძანებაში „--no-substitutes“ ოფციის ცალსახად მითითება. დაუცველობის გამოსწორება მიღებულია Guix კოდის ბაზაში. მომხმარებლებს ურჩევენ დაუყოვნებლივ დააინსტალირონ guix-ისა და guix-daemon-ის დეველოპერის მიერ გენერირებული განახლებები.

აღნიშნული პრობლემის გარდა, Guix-ში კიდევ სამი დაუცველობა გამოსწორდა:

• ბინარული პაკეტის გაყალბების შესაძლებლობა fetch-narinfos დამმუშავებელში მოთხოვნილი პაკეტის შესაბამისობის დაბრუნებულ მეტამონაცემებთან დადასტურების არარსებობის გამო. ეს დაუცველობა შეიძლება გამოყენებულ იქნას მოთხოვნილი პაკეტის მოძველებული ვერსიის დასაბრუნებლად, რომელიც შეიცავს დაუცველობებს.
• სისტემაში არსებული თვითნებური ფაილების პირველი ხაზის შინაარსის დადგენა ლოკალური მომხმარებლისგან მოთხოვნის გაგზავნით "file://" URI-ით ("--substitute-urls file:///etc/shadow"). თუ guix-daemon მუშაობს root პრივილეგიებით, ის წაიკითხავს მოთხოვნილ ფაილს, დაადგენს, რომ ის არ არის მეტამონაცემები და დააბრუნებს შეცდომის შეტყობინებას, რომელშიც მითითებული იქნება ხაზი, რომლის დამუშავებაც შეუძლებელია.
• სპეციალურად შემუშავებული გარე საცავის სახელის ("../../../../newfile") მითითება "guix pull" და "guix time-machine" ბრძანებების შესრულებისას საშუალებას იძლევა, ჩაიწეროს commit ინფორმაცია ფაილურ სისტემაში არსებულ ნებისმიერ ფაილზე, თუ მისი შინაარსი Scheme სტრიქონების სიას ჰგავს. ეს დაუცველობა შეიძლება გამოყენებულ იქნას DoS შეტევებისთვის, მაგრამ შესაძლებელია, რომ უფრო სახიფათო სისტემური მანიპულაციების მიღწევა შესაძლებელი იყოს /proc ფსევდოფაილური სისტემის ჭკვიანური მანიპულირებით.

წყარო: opennet.ru