Snap 패키지 관리 툴킷의 로컬 루트 취약점

Qualys는 SUID 루트 플래그와 함께 제공되고 snapd 프로세스에서 호출되어 자체 포함 패키지로 제공되는 애플리케이션에 대한 실행 가능 환경을 생성하는 snap-confine 유틸리티에서 두 가지 취약점(CVE-2021-44731, CVE-2021-44730)을 식별했습니다. 스냅 형식으로. 이 취약점으로 인해 권한이 없는 로컬 사용자가 시스템에서 루트 권한으로 코드를 실행할 수 있습니다. 이 문제는 오늘 Ubuntu 21.10, 20.04 및 18.04용 snapd 패키지 업데이트에서 해결되었습니다.

첫 번째 취약점(CVE-2021-44730)은 하드 링크 조작을 통한 공격을 허용하지만 시스템 하드 링크 보호를 비활성화해야 합니다(sysctl fs.protected_hardlinks를 0으로 설정). 이 문제는 루트로 실행되는 snap-update-ns 및 snap-discard-ns 도우미 프로그램의 실행 파일 위치를 잘못 확인하여 발생합니다. 이러한 파일의 경로는 /proc/self/exe의 자체 경로를 기반으로 sc_open_snapd_tool() 함수에서 계산되었습니다. 이를 통해 디렉터리에 스냅 제한을 위한 하드 링크를 생성하고 자신만의 스냅 버전을 배치할 수 있습니다. 이 디렉토리의 update-ns 및 snap- 유틸리티는 Discard-ns입니다. 하드 링크를 통해 실행한 후 루트 권한으로 snap-confine은 공격자가 대체하는 현재 디렉터리에서 snap-update-ns 및 snap-discard-ns 파일을 시작합니다.

두 번째 취약점은 경쟁 조건으로 인해 발생하며 기본 Ubuntu 데스크탑 구성에서 악용될 수 있습니다. Ubuntu Server에서 익스플로잇이 성공적으로 작동하려면 설치 시 "추천 서버 스냅" 섹션에서 패키지 중 하나를 선택해야 합니다. 경쟁 조건은 snap 패키지에 대한 마운트 지점 네임스페이스를 준비하는 동안 호출되는 setup_private_mount() 함수에서 분명하게 나타납니다. 이 함수는 임시 디렉터리 "/tmp/snap.$SNAP_NAME/tmp"를 생성하거나 기존 디렉터리를 사용하여 스냅 패키지용 디렉터리를 해당 디렉터리에 바인딩합니다.

임시 디렉토리의 이름은 예측 가능하므로 공격자는 소유자를 확인한 후 mount 시스템 호출을 호출하기 전에 해당 내용을 심볼릭 링크로 바꿀 수 있습니다. 예를 들어, 임의의 디렉토리를 가리키는 /tmp/snap.lxd 디렉토리에 "/tmp/snap.lxd/tmp" 심볼릭 링크를 생성할 수 있으며, mount()에 대한 호출은 심볼릭 링크를 따라 디렉토리를 마운트합니다. 스냅 네임스페이스. 비슷한 방법으로 /var/lib에 콘텐츠를 마운트하고 /var/lib/snapd/mount/snap.snap-store.user-fstab을 대체하여 /etc 디렉토리의 마운트를 다음 네임스페이스에 구성할 수 있습니다. /etc/ld.so.preload를 대체하여 루트 권한으로 라이브러리 로딩을 구성하는 스냅 패키지입니다.

snap-confine 유틸리티는 보안 프로그래밍 기술을 사용하여 Go로 작성되고, AppArmor 프로필을 기반으로 보호하고, seccomp 메커니즘을 기반으로 시스템 호출을 필터링하고, 격리를 위한 마운트 네임스페이스입니다. 그러나 연구원들은 시스템에 대한 루트 권한을 얻기 위해 작동하는 익스플로잇을 준비할 수 있었습니다. 익스플로잇 코드는 사용자가 제공된 업데이트를 설치한 후 몇 주 후에 공개됩니다.

출처 : opennet.ru