다른 사람의 터미널에 이스케이프 시퀀스를 삽입할 수 있는 취약점

util-linux 패키지에 제공되고 터미널에 메시지를 보내기 위한 wall 유틸리티에서 취약점(CVE-2024-28085)이 확인되었습니다. 이 유틸리티는 이스케이프 시퀀스 조작을 통해 다른 사용자의 터미널에 대한 공격을 허용합니다. 이 문제는 wall 유틸리티가 입력 스트림의 이스케이프 시퀀스를 차단하지만 명령줄 인수에서는 그렇게 하지 않아 공격자가 다른 사용자 터미널에서 이스케이프 시퀀스를 이스케이프할 수 있기 때문에 발생합니다.

예를 들어 'wall $(printf "\033[33mHI")'를 실행하면 "HI"가 노란색으로 인쇄될 수 있습니다. 포인터를 이동하고, 화면의 내용을 지우고, 바꿀 수 있는 이스케이프 시퀀스를 사용하면 다른 사용자의 터미널에 sudo 비밀번호 프롬프트를 표시하는 것을 시뮬레이션할 수 있습니다. 사용자가 트릭을 알아채지 못하고 비밀번호를 입력하면 비밀번호는 입력 기록에 존재하지 않는 명령으로 표시됩니다(사실 사용자는 명령 대신 명령줄에 비밀번호를 입력하게 됩니다). "\033[3A" // 커서를 3줄 위로 이동 "\033[K" // 이전 출력 삭제 "[sudo] a_user에 대한 비밀번호:" // 더미 sudo 요청 표시 "\033[?25l" / / 입력 "\033[38;2;48;10;36m"을 숨기도록 배경색 설정

입력한 명령을 찾을 수 없다는 경고가 표시되면 많은 배포판에서는 누락된 명령이 포함된 패키지를 식별하고 설치 가능 여부에 대한 힌트를 제공하는 /usr/lib/command-not-found 핸들러를 실행합니다. . 문제는 찾을 수 없는 명령 핸들러가 시작될 때 존재하지 않는 명령이 명령줄 매개변수로 전달된다는 것입니다. 이는 시스템에서 프로세스를 볼 때 표시됩니다(예: 제거된 유틸리티를 실행하려고 할 때). "xsnow", "/usr"은 /lib/command-not-found 프로세스 목록에 표시됩니다 - xsnow"). 이에 따라 공격자는 실행 중인 프로세스를 모니터링(예: 예측된 PID 번호에 대해 "/proc/$pid/cmdline" 발생 분석)하고 피해자가 명령줄에 입력한 비밀번호를 알아낼 수 있습니다.

사용자가 가상의 sudo 프롬프트에 응답하여 비밀번호를 입력할 수 있도록 트릭이 제안되었습니다. 그 핵심은 프로세스 목록에서 sudo 유틸리티의 실제 실행을 추적하고 완료될 때까지 기다리는 것입니다. 그 직후에 "벽"을 뚫고 공격을 가한다. 공격자는 이스케이프 시퀀스를 조작하여 실제 sudo 실행 후 메시지를 가짜 비밀번호 재입력 프롬프트로 바꿀 수 있습니다. 피해자는 비밀번호를 입력할 때 자신이 실수했다고 생각하고 두 번째 비밀번호를 입력하면 “command-not-found” 핸들러의 인수에 비밀번호가 노출될 수 있다.

성공적인 공격을 위해서는 "mesg" 모드를 "y"로 설정해야 하며, 이는 Ubuntu, Debian 및 CentOS/RHEL에서 기본적으로 설정됩니다. 이 공격은 gnome-terminal을 사용하는 기본 구성의 Ubuntu 22.04에서 시연되었습니다. Debian에서는 "command-not-found" 처리기가 배포판에서 기본적으로 활성화되어 있지 않기 때문에 공격이 어렵고, CentOS/RHEL에서는 wall 유틸리티가 setgid 플래그 없이 설치되고 실행되지 않기 때문에 공격이 작동하지 않습니다. 다른 사람의 터미널에 접근할 수 없습니다. Windows 터미널을 사용할 경우 공격을 수정하여 클립보드의 내용을 변경할 수 있습니다.

이 취약점은 2013 릴리스에서 wall 명령줄에 메시지를 지정하는 기능을 추가했지만 이스케이프 시퀀스를 정리하는 것을 잊어버린 이후 2.24년부터 util-linux 패키지에 존재했습니다. 취약점에 대한 수정 사항은 어제 발표된 util-linux 2.40에 포함되어 있습니다. util-linux 2.39 릴리스에서 취약점을 수정하려고 할 때 로케일 조작을 통해 제어 문자를 대체할 수 있는 또 다른 유사한 취약점이 식별되었다는 점은 주목할 만합니다.

출처 : opennet.ru