ხარვეზები swhkd-ში, მალსახმობების მენეჯერი Wayland-ისთვის

swhkd-ში (Simple Wayland HotKey Daemon) იდენტიფიცირებულია დაუცველობის სერია, რომელიც გამოწვეულია დროებით ფაილებთან, ბრძანების სტრიქონის პარამეტრებთან და Unix სოკეტებთან არასწორი მუშაობით. პროგრამა დაწერილია Rust-ში და ამუშავებს ცხელი კლავიშების დაჭერას Wayland პროტოკოლზე დაფუძნებულ გარემოში (sxhkd პროცესის კონფიგურაციის ფაილთან თავსებადი ანალოგი, რომელიც გამოიყენება X11-ზე დაფუძნებულ გარემოში).

პაკეტი მოიცავს არაპრივილეგირებულ swhks პროცესს, რომელიც ასრულებს hotkey მოქმედებებს და ფონური swhkd პროცესს, რომელიც მუშაობს როგორც root და ურთიერთქმედებს შეყვანის მოწყობილობებთან uinput API დონეზე. Unix სოკეტი გამოიყენება swhks-სა და swhkd-ს შორის ურთიერთქმედების ორგანიზებისთვის. Polkit წესების გამოყენებით, ნებისმიერ ადგილობრივ მომხმარებელს შეუძლია გაუშვას /usr/bin/swhkd პროცესი root-ის სახით და გადასცეს მას თვითნებური პარამეტრები.

გამოვლენილი დაუცველობა:

• CVE-2022-27815 – პროცესის PID-ის შენახვა ფაილში პროგნოზირებადი სახელით და დირექტორიაში, რომელიც სხვა მომხმარებლების მიერ არის დაწერილი (/tmp/swhkd.pid). ნებისმიერ მომხმარებელს შეუძლია შექმნას ფაილი /tmp/swhkd.pid და ჩადოს მასში არსებული პროცესის pid, რაც აიძულებს swhkd-ს გაშვებას. თუ არ არსებობს დაცვა სიმბოლური ბმულების შექმნისგან /tmp-ში, დაუცველობა შეიძლება გამოყენებულ იქნას ფაილების შესაქმნელად ან გადასაწერად ნებისმიერი სისტემის დირექტორიაში (PID იწერება ფაილში) ან განსაზღვროს ნებისმიერი ფაილის შინაარსი სისტემაში (swhkd ბეჭდავს PID ფაილის მთელი შინაარსი stdout-ში). აღსანიშნავია, რომ გამოშვებულ შესწორებაში PID ფაილი გადატანილია არა /run დირექტორიაში, არამედ /etc დირექტორიაში (/etc/swhkd/runtime/swhkd_{uid}.pid), სადაც ის ასევე არ ეკუთვნის.
• CVE-2022-27814 – „-c“ ბრძანების სტრიქონის პარამეტრის მანიპულირებით, რომელიც გამოიყენება კონფიგურაციის ფაილის დასაზუსტებლად, შესაძლებელია სისტემაში ნებისმიერი ფაილის არსებობის დადგენა. მაგალითად, /root/.somefile-ის შესამოწმებლად შეგიძლიათ გაუშვათ „pkexec /usr/bin/swhkd -d -c /root/.somefile“ და თუ ფაილი აკლია, შეცდომა „/root/.somefile არ არსებობს. ” ნაჩვენები იქნება. როგორც პირველი დაუცველობის შემთხვევაში, პრობლემის გამოსწორება საგონებელში ჩააგდო - პრობლემის გამოსწორება მთავრდება იმით, რომ გარე უტილიტა „cat“ ('Command::new(“/bin/cat”)).arg(path) ახლა გაშვებულია კონფიგურაციის ფაილის წასაკითხად. output()').
• CVE-2022-27819 – პრობლემა ასევე დაკავშირებულია „-c“ ოფციის გამოყენებასთან, რაც იწვევს მთლიანი კონფიგურაციის ფაილის ჩატვირთვას და ანალიზს ფაილის ზომისა და ტიპის შემოწმების გარეშე. მაგალითად, სერვისზე უარის თქმის მიზნით, თავისუფალი მეხსიერების ამოწურვით და ყალბი I/O შექმნით, შეგიძლიათ მიუთითოთ ბლოკის მოწყობილობა გაშვებისას ("pkexec /usr/bin/swhkd -d -c /dev/sda") ან სიმბოლოების მოწყობილობა, რომელიც აწარმოებს მონაცემთა უსასრულო ნაკადს. პრობლემა მოგვარდა ფაილის გახსნამდე პრივილეგიების გადატვირთვით, მაგრამ შესწორება არ დასრულებულა, რადგან მხოლოდ მომხმარებლის ID (UID) გადატვირთულია, მაგრამ ჯგუფის ID (GID) იგივე რჩება.
• CVE-2022-27818 – Unix სოკეტი იქმნება ჩასაწერ დირექტორიაში შექმნილი /tmp/swhkd.sock ფაილის გამოყენებით, რაც იწვევს მსგავს პრობლემებს, როგორც პირველ დაუცველობას (ნებისმიერ მომხმარებელს შეუძლია შექმნას /tmp/swhkd.sock და შექმნას ან ჩაჭრას კლავიშების დაჭერის მოვლენები).
• CVE-2022-27817 - შეყვანის მოვლენები მიიღება ყველა მოწყობილობიდან და ყველა სესიაზე, ე.ი. მომხმარებელს სხვა Wayland სესიიდან ან კონსოლიდან შეუძლია მოვლენებს ჩაჭრას, როდესაც ცხელი კლავიშები დაჭერილია სხვა მომხმარებლების მიერ.
• CVE-2022-27816 swhks პროცესი, ისევე როგორც swhkd, იყენებს PID ფაილს /tmp/swhks.pid ჩასაწერ /tmp დირექტორიაში. პრობლემა პირველი დაუცველობის მსგავსია, მაგრამ არც ისე საშიშია, რადგან swhks მუშაობს არაპრივილეგირებული მომხმარებლის ქვეშ.

წყარო: opennet.ru