ភាពងាយរងគ្រោះសំខាន់នៅក្នុង PolKit អនុញ្ញាតឱ្យចូលប្រើជា root នៅលើការចែកចាយលីនុចភាគច្រើន

Qualys បានកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះ (CVE-2021-4034) នៅក្នុងសមាសធាតុប្រព័ន្ធ Polkit (អតីត PolicyKit) ដែលប្រើក្នុងការចែកចាយ ដើម្បីអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ដែលគ្មានសិទ្ធិធ្វើសកម្មភាពដែលទាមទារសិទ្ធិចូលប្រើប្រាស់កម្រិតខ្ពស់។ ភាពងាយរងគ្រោះអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ក្នុងតំបន់ដែលមិនមានសិទ្ធិបង្កើនសិទ្ធិរបស់ពួកគេក្នុងការ root និងទទួលបានការគ្រប់គ្រងពេញលេញនៃប្រព័ន្ធ។ បញ្ហានេះត្រូវបានគេដាក់ឈ្មោះកូដថា PwnKit ហើយគួរឱ្យកត់សម្គាល់សម្រាប់ការផលិតការកេងប្រវ័ញ្ចការងារដែលដំណើរការក្នុងការកំណត់លំនាំដើមលើការចែកចាយលីនុចភាគច្រើន។

បញ្ហាគឺមានវត្តមាននៅក្នុងឧបករណ៍ប្រើប្រាស់ pkexec របស់ PolKit ដែលភ្ជាប់មកជាមួយទង់ឫស SUID ហើយត្រូវបានរចនាឡើងដើម្បីដំណើរការពាក្យបញ្ជាដែលមានសិទ្ធិរបស់អ្នកប្រើផ្សេងទៀតយោងទៅតាមច្បាប់ PolKit ដែលបានបញ្ជាក់។ ដោយសារតែការដោះស្រាយមិនត្រឹមត្រូវនៃអាគុយម៉ង់បន្ទាត់ពាក្យបញ្ជាដែលបានបញ្ជូនទៅ pkexec អ្នកប្រើប្រាស់ដែលមិនមានសិទ្ធិអាចរំលងការផ្ទៀងផ្ទាត់ និងធ្វើឱ្យកូដរបស់ពួកគេដំណើរការជា root ដោយមិនគិតពីច្បាប់ចូលប្រើដែលបានកំណត់។ សម្រាប់ការវាយប្រហារ វាមិនមានបញ្ហាអ្វីដែលការកំណត់ និងការរឹតបន្តឹងត្រូវបានបញ្ជាក់នៅក្នុង PolKit នោះទេ វាគ្រប់គ្រាន់ហើយដែលគុណលក្ខណៈ root SUID ត្រូវបានកំណត់សម្រាប់ឯកសារដែលអាចប្រតិបត្តិបានជាមួយនឹងឧបករណ៍ប្រើប្រាស់ pkexec ។

Pkexec មិនពិនិត្យមើលសុពលភាពនៃចំនួនអាគុយម៉ង់បន្ទាត់ពាក្យបញ្ជា (argc) ដែលបានឆ្លងកាត់នៅពេលចាប់ផ្តើមដំណើរការ។ អ្នកអភិវឌ្ឍន៍ pkexec បានសន្មត់ថាធាតុទីមួយនៅក្នុងអារេ argv តែងតែមានឈ្មោះនៃដំណើរការ (pkexec) ហើយទីពីរទាំងតម្លៃ NULL ឬឈ្មោះនៃពាក្យបញ្ជាដែលចាប់ផ្តើមតាមរយៈ pkexec ។ ដោយសារការរាប់អាគុយម៉ង់មិនត្រូវបានពិនិត្យទល់នឹងមាតិកាពិតនៃអារេ ហើយត្រូវបានគេសន្មត់ថាតែងតែធំជាង 1 ប្រសិនបើដំណើរការមួយត្រូវបានឆ្លងកាត់អារេ argv ទទេ ដូចដែលមុខងារប្រតិបត្តិរបស់លីនុចអនុញ្ញាត pkexec នឹងចាត់ទុក NULL ជាអាគុយម៉ង់ដំបូង ( ឈ្មោះដំណើរការ) និងមួយបន្ទាប់ទៀតនៅខាងក្រៅសតិបណ្ដោះអាសន្ន ដូចជាមាតិកាបន្តបន្ទាប់នៃអារេ។ |——+————+——+————|————+————+——+————| | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—+——+——|——|—|—-+—-|—-+——+——|——| VVVVVV "កម្មវិធី" "-ជម្រើស" NULL "តម្លៃ" "PATH=name" NULL

បញ្ហាគឺថាបន្ទាប់ពីអារេ argv មានអារេ envp នៅក្នុងអង្គចងចាំដែលមានអថេរបរិស្ថាន។ ដូច្នេះប្រសិនបើអារេ argv គឺទទេ pkexec ស្រង់ទិន្នន័យអំពីដំណើរការពាក្យបញ្ជាដោយមានសិទ្ធិកើនឡើងពីធាតុដំបូងនៃអារេជាមួយអថេរបរិស្ថាន (argv[1] ក្លាយជាដូចគ្នាបេះបិទទៅនឹង envp[0]) មាតិកាដែលអាចត្រូវបានគ្រប់គ្រង ដោយអ្នកវាយប្រហារ។

ដោយបានទទួលតម្លៃនៃ argv[1] pkexec ព្យាយាមដោយគិតគូរពីផ្លូវឯកសារក្នុង PATH ដើម្បីកំណត់ផ្លូវពេញលេញទៅកាន់ឯកសារដែលអាចប្រតិបត្តិបាន ហើយសរសេរទ្រនិចទៅខ្សែអក្សរជាមួយនឹងផ្លូវពេញលេញត្រឡប់ទៅ argv[1] ដែល នាំទៅដល់ការសរសេរជាន់លើតម្លៃនៃអថេរបរិស្ថានទីមួយ ដោយហេតុថា argv[1] គឺដូចគ្នាបេះបិទទៅនឹង envp[0]។ តាមរយៈការរៀបចំឈ្មោះនៃអថេរបរិស្ថានដំបូង អ្នកវាយប្រហារអាចជំនួសអថេរបរិស្ថានផ្សេងទៀតនៅក្នុង pkexec ឧទាហរណ៍ ជំនួសអថេរបរិស្ថាន "LD_PRELOAD" ដែលមិនត្រូវបានអនុញ្ញាតនៅក្នុងកម្មវិធី suid និងរៀបចំឱ្យបណ្ណាល័យចែករំលែករបស់ពួកគេផ្ទុកទៅក្នុង ដំណើរការ។

ការកេងប្រវ័ញ្ចការងារពាក់ព័ន្ធនឹងការជំនួសអថេរ GCONV_PATH ដែលត្រូវបានប្រើដើម្បីកំណត់ផ្លូវទៅកាន់បណ្ណាល័យការបំប្លែងនិមិត្តសញ្ញា ដែលផ្ទុកដោយថាមវន្តនៅពេលហៅមុខងារ g_printerr() កូដដែលប្រើ iconv_open() ។ តាមរយៈការកំណត់ឡើងវិញនូវផ្លូវនៅក្នុង GCONV_PATH អ្នកវាយប្រហារអាចធានាថាវាមិនមែនជាបណ្ណាល័យ iconv ស្តង់ដារដែលត្រូវបានផ្ទុក ប៉ុន្តែបណ្ណាល័យផ្ទាល់ខ្លួនរបស់វា អ្នកដោះស្រាយនឹងត្រូវបានប្រតិបត្តិនៅពេលដែលសារកំហុសត្រូវបានបង្ហាញនៅដំណាក់កាលដែល pkexec នៅតែដំណើរការជាមួយ សិទ្ធិជា root និងមុនពេលការអនុញ្ញាតចាប់ផ្តើមត្រូវបានពិនិត្យ។

វាត្រូវបានកត់សម្គាល់ថាទោះបីជាបញ្ហាកើតឡើងដោយសារការខូចខាតអង្គចងចាំក៏ដោយ វាអាចត្រូវបានប្រើប្រាស់ដោយភាពជឿជាក់ និងម្តងហើយម្តងទៀតដោយមិនគិតពីស្ថាបត្យកម្មផ្នែករឹងដែលបានប្រើ។ ការកេងប្រវ័ញ្ចដែលបានរៀបចំត្រូវបានសាកល្បងដោយជោគជ័យនៅលើ Ubuntu, Debian, Fedora និង CentOS ប៉ុន្តែក៏អាចប្រើនៅលើការចែកចាយផ្សេងទៀតផងដែរ។ ការកេងប្រវ័ញ្ចដើមមិនទាន់មានជាសាធារណៈនៅឡើយទេ ដោយបង្ហាញថាវាជារឿងតូចតាច និងអាចបង្កើតឡើងវិញបានយ៉ាងងាយស្រួលដោយអ្នកស្រាវជ្រាវផ្សេងទៀត ដូច្នេះវាជាការសំខាន់ក្នុងការដំឡើងការអាប់ដេតបំណះឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាននៅលើប្រព័ន្ធពហុអ្នកប្រើប្រាស់។ Polkit ក៏មានសម្រាប់ប្រព័ន្ធ BSD និង Solaris ផងដែរ ប៉ុន្តែមិនត្រូវបានគេសិក្សាសម្រាប់ប្រើប្រាស់លើពួកវាទេ។ អ្វី​ដែល​ត្រូវ​បាន​គេ​ដឹង​គឺ​ថា​ការ​វាយ​ប្រហារ​មិន​អាច​ត្រូវ​បាន​ធ្វើ​ឡើង​នៅ​លើ OpenBSD ដោយ​សារ​តែ​ខឺណែល OpenBSD មិន​អនុញ្ញាត​ឱ្យ​តម្លៃ null argc ត្រូវ​បាន​ឆ្លង​កាត់​នៅ​ពេល execve() ត្រូវ​បាន​ហៅ។

បញ្ហា​នេះ​បាន​កើត​ឡើង​តាំង​ពី​ខែ​ឧសភា ឆ្នាំ​២០០៩ តាំង​ពី​ការ​បន្ថែម​ពាក្យ​បញ្ជា pkexec។ ការជួសជុលភាពងាយរងគ្រោះរបស់ PolKit បច្ចុប្បន្នមានជាបំណះ (មិនមានការចេញផ្សាយបំណះត្រូវបានចេញផ្សាយទេ) ប៉ុន្តែចាប់តាំងពីអ្នកអភិវឌ្ឍន៍ការចែកចាយត្រូវបានជូនដំណឹងអំពីបញ្ហាជាមុន ការចែកចាយភាគច្រើនបានចេញផ្សាយការធ្វើបច្ចុប្បន្នភាពក្នុងពេលដំណាលគ្នាជាមួយនឹងការបង្ហាញព័ត៌មានអំពីភាពងាយរងគ្រោះ។ បញ្ហាត្រូវបានជួសជុលនៅក្នុង RHEL 2009/6/7, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux និង Manjaro ។ ជាវិធានការបណ្តោះអាសន្នដើម្បីទប់ស្កាត់ភាពងាយរងគ្រោះ អ្នកអាចដកទង់ឫស SUID ចេញពីកម្មវិធី /usr/bin/pkexec (“chmod 8 /usr/bin/pkexec”)។

ប្រភព: opennet.ru