루트 액세스를 허용하는 네트워크 디스패처의 취약점

Microsoft의 보안 연구원들은 네트워크 디스패처 서비스(코드명 Nimbuspwn)에서 권한 없는 사용자가 루트 권한으로 임의 명령을 실행할 수 있도록 허용하는 두 가지 취약점(CVE-2022-29799, CVE-2022-29800)을 확인했습니다. 이 문제는 networkd-dispatcher 2.2 릴리스에서 수정되었습니다. 배포판(Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux)별 업데이트 게시에 대한 정보는 아직 없습니다.

Networkd-dispatcher는 백그라운드 프로세스 systemd-networkd를 사용하여 네트워크 매개변수를 구성하고 NetworkManager-dispatcher와 유사한 기능을 수행하는 Ubuntu를 포함한 많은 Linux 배포판에서 사용됩니다. 네트워크 연결 상태가 변경될 때 스크립트 시작을 처리합니다. 예를 들어 기본 네트워크 연결을 설정한 후 VPN을 시작하는 데 사용됩니다.

networkd-dispatcher와 관련된 백그라운드 프로세스는 루트로 실행되며 D-Bus를 통해 이벤트 신호를 수신합니다. 네트워크 연결 상태 변경과 관련된 이벤트에 대한 정보는 systemd-networkd 서비스에서 전송됩니다. 문제는 권한이 없는 사용자가 존재하지 않는 상태 이벤트를 생성하고 스크립트가 루트로 실행되도록 트리거할 수 있다는 것입니다.

Systemd-networkd는 /etc/networkd-dispatcher 디렉터리에 있는 시스템 핸들러 스크립트만 실행하도록 설계되었으며 사용자 교체가 불가능하지만 파일 경로 처리 코드의 취약점(CVE-2022-29799)으로 인해 범위를 벗어난 기본 디렉토리 및 임의 스크립트 실행 가능성. 특히, 스크립트에 파일 경로를 구성할 때 D-Bus를 통해 전달되는 OperationalState, AdministrativeState 값을 사용했는데, 이때 특수문자가 지워지지 않았다. 공격자는 이름에 "../" 문자가 포함된 자신의 상태를 생성하고 네트워크 디스패처 호출을 다른 디렉터리로 리디렉션할 수 있습니다.

두 번째 취약점(CVE-2022-29800)은 경쟁 조건과 관련이 있습니다. 스크립트 매개 변수(루트에 속함)를 확인하고 실행하는 사이에 파일을 교체하고 해당 파일이 있는지 여부 확인을 우회하기에 충분한 짧은 시간이 있었습니다. 스크립트는 루트 사용자에 속합니다. 또한 networkd-dispatcher는 subprocess.Popen 호출을 통해 스크립트를 실행할 때를 포함하여 심볼릭 링크를 확인하지 않았으므로 공격 구성이 크게 단순화되었습니다.

운영 기술:

• 루트가 소유한 실행 파일을 확인하는 데 사용되는 "/sbin" 디렉터리를 가리키는 "/tmp/nimbuspwn" 디렉터리와 심볼릭 링크 "/tmp/nimbuspwn/poc.d"가 생성됩니다.
• "/sbin"의 실행 파일의 경우 동일한 이름의 파일이 "/tmp/nimbuspwn" 디렉터리에 생성됩니다. 예를 들어 "/sbin/vgs" 파일의 경우 실행 파일 "/tmp/nimbuspwn/vgs"는 다음과 같습니다. 공격자가 실행하려는 코드가 배치되는 권한 없는 사용자가 소유한 생성된 코드입니다.
• OperationalState의 "../../../tmp/nimbuspwn/poc" 값을 나타내는 신호가 D-Bus를 통해 networkd-dispatcher 프로세스로 전송됩니다. "org.freedesktop.network1" 네임스페이스에서 신호를 보내기 위해 핸들러를 systemd-networkd에 연결하는 기능이 사용되었습니다(예: gpgv 또는 epmd 조작을 통해). 또는 systemd-networkd라는 사실을 활용할 수 있습니다. 기본적으로 실행되지 않습니다(예: Linux Mint).
• 신호를 받은 후 Networkd-dispatcher는 루트 사용자가 소유하고 "/etc/networkd-dispatcher/../../../tmp/nimbuspwn/poc.d" 디렉터리에서 사용할 수 있는 실행 파일 목록을 작성합니다. 실제로는 "/sbin"에 연결됩니다.
• 파일 목록이 수신되었지만 스크립트가 아직 시작되지 않은 순간, 심볼릭 링크는 "/tmp/nimbuspwn/poc.d"에서 "/tmp/nimbuspwn"으로 리디렉션되고 networkd-dispatcher는 루트 권한을 가진 공격자가 호스팅하는 스크립트입니다.

출처 : opennet.ru