ຊ່ອງໂຫວ່ທີ່ສໍາຄັນໃນ PolKit ອະນຸຍາດໃຫ້ເຂົ້າເຖິງຮາກກ່ຽວກັບການແຈກຢາຍ Linux ສ່ວນໃຫຍ່

Qualys ໄດ້ລະບຸຊ່ອງໂຫວ່ (CVE-2021-4034) ໃນອົງປະກອບລະບົບ Polkit (ໃນເມື່ອກ່ອນເອີ້ນວ່າ PolicyKit) ທີ່ໃຊ້ໃນການແຈກຢາຍເພື່ອໃຫ້ຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຮັບສິດປະຕິບັດການທີ່ຮຽກຮ້ອງໃຫ້ມີສິດການເຂົ້າເຖິງສູງ. ຊ່ອງໂຫວ່ເຮັດໃຫ້ຜູ້ໃຊ້ທ້ອງຖິ່ນທີ່ບໍ່ມີສິດທິພິເສດສາມາດເພີ່ມສິດທິຂອງເຂົາເຈົ້າໃນການປົ່ງຮາກອອກຕາມແລະໄດ້ຮັບການຄວບຄຸມຢ່າງເຕັມທີ່ຂອງລະບົບ. ບັນຫາມີຊື່ລະຫັດ PwnKit ແລະເປັນທີ່ຫນ້າສັງເກດສໍາລັບການຜະລິດການຂູດຮີດການເຮັດວຽກທີ່ດໍາເນີນການໃນການຕັ້ງຄ່າເລີ່ມຕົ້ນກ່ຽວກັບການແຈກຢາຍ Linux ສ່ວນໃຫຍ່.

ບັນຫາແມ່ນຢູ່ໃນຜົນປະໂຫຍດຂອງ PolKit ຂອງ pkexec, ເຊິ່ງມາພ້ອມກັບທຸງຮາກ SUID ແລະຖືກອອກແບບເພື່ອດໍາເນີນການຄໍາສັ່ງທີ່ມີສິດທິພິເສດຂອງຜູ້ໃຊ້ອື່ນຕາມກົດລະບຽບ PolKit ທີ່ກໍານົດໄວ້. ເນື່ອງຈາກການຈັດການທີ່ບໍ່ຖືກຕ້ອງຂອງການໂຕ້ຖຽງແຖວຄໍາສັ່ງທີ່ສົ່ງກັບ pkexec, ຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິພິເສດສາມາດຂ້າມຜ່ານການກວດສອບແລະແລ່ນລະຫັດຂອງພວກເຂົາເປັນຮາກ, ໂດຍບໍ່ຄໍານຶງເຖິງກົດລະບຽບການເຂົ້າເຖິງທີ່ກໍານົດໄວ້. ສໍາລັບການໂຈມຕີ, ມັນບໍ່ສໍາຄັນວ່າການຕັ້ງຄ່າແລະຂໍ້ຈໍາກັດໃດຖືກລະບຸໄວ້ໃນ PolKit, ມັນພຽງພໍທີ່ຄຸນລັກສະນະຮາກ SUID ຖືກກໍານົດສໍາລັບໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ກັບ pkexec utility.

Pkexec ບໍ່ໄດ້ກວດສອບຄວາມຖືກຕ້ອງຂອງແຖວຄໍາສັ່ງນັບ argument count (argc) ຜ່ານເມື່ອເລີ່ມຕົ້ນຂະບວນການ. ນັກພັດທະນາຂອງ pkexec ສົມມຸດວ່າການເຂົ້າທໍາອິດໃນ array argv ສະເຫມີມີຊື່ຂອງຂະບວນການ (pkexec), ແລະອັນທີສອງແມ່ນຄ່າ NULL ຫຼືຊື່ຂອງຄໍາສັ່ງທີ່ເປີດຕົວຜ່ານ pkexec. ເນື່ອງຈາກການນັບອາກິວເມັນບໍ່ໄດ້ຖືກກວດສອບກັບເນື້ອໃນຕົວຈິງຂອງອາເຣ ແລະສົມມຸດວ່າມີຫຼາຍກວ່າ 1 ສະເໝີ, ຖ້າຂະບວນການໃດນຶ່ງໄດ້ຜ່ານອາເຣ argv ຫວ່າງເປົ່າ, ດັ່ງທີ່ຟັງຊັນ Linux execve ອະນຸຍາດໃຫ້, pkexec ຈະປະຕິບັດຕໍ່ NULL ເປັນການໂຕ້ຖຽງທໍາອິດ ( ຊື່ຂະບວນການ) ແລະອັນຕໍ່ໄປທີ່ຢູ່ນອກຫນ່ວຍຄວາມຈໍາ buffer, ເຊັ່ນເນື້ອໃນຕໍ່ມາຂອງ array. |———+————+——+————|————+————+——+————| | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—|—-+—-|—-+——+——|——| VVVVVV "ໂປຣແກຣມ" "-ທາງເລືອກ" NULL "ຄ່າ" "PATH=name" NULL

ບັນຫາແມ່ນວ່າຫຼັງຈາກອາເຣ argv ມີອາເຣ envp ໃນຫນ່ວຍຄວາມຈໍາທີ່ມີຕົວແປສະພາບແວດລ້ອມ. ດັ່ງນັ້ນ, ຖ້າ argv array ຫວ່າງເປົ່າ, pkexec ສະກັດຂໍ້ມູນກ່ຽວກັບການດໍາເນີນການຄໍາສັ່ງດ້ວຍສິດທິພິເສດຈາກອົງປະກອບທໍາອິດຂອງ array ທີ່ມີຕົວແປສະພາບແວດລ້ອມ (argv[1] ກາຍເປັນຄືກັນກັບ envp[0]), ເນື້ອໃນທີ່ສາມາດຄວບຄຸມໄດ້. ໂດຍຜູ້ໂຈມຕີ.

ໂດຍໄດ້ຮັບຄ່າຂອງ argv[1], pkexec ພະຍາຍາມ, ໂດຍຄໍານຶງເຖິງເສັ້ນທາງໄຟລ໌ໃນ PATH, ເພື່ອກໍານົດເສັ້ນທາງເຕັມໄປຫາໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ແລະຂຽນຕົວຊີ້ໄປຫາສະຕຣິງທີ່ມີເສັ້ນທາງເຕັມໄປຫາ argv[1], ເຊິ່ງ. ນໍາໄປສູ່ການຂຽນທັບຄ່າຂອງຕົວແປສະພາບແວດລ້ອມທໍາອິດ, ນັບຕັ້ງແຕ່ argv[1] ແມ່ນຄືກັນກັບ envp[0]. ໂດຍການຈັດການຊື່ຂອງຕົວແປສະພາບແວດລ້ອມທໍາອິດ, ຜູ້ໂຈມຕີສາມາດທົດແທນຕົວແປສະພາບແວດລ້ອມອື່ນໃນ pkexec, ຕົວຢ່າງ, ທົດແທນຕົວແປສະພາບແວດລ້ອມ "LD_PRELOAD", ເຊິ່ງບໍ່ອະນຸຍາດໃຫ້ຢູ່ໃນໂຄງການ suid, ແລະຈັດແຈງໃຫ້ຫ້ອງສະຫມຸດທີ່ໃຊ້ຮ່ວມກັນຂອງພວກເຂົາຖືກໂຫລດເຂົ້າໃນ. ຂະ​ບວນ​ການ.

ການຂູດຮີດການເຮັດວຽກກ່ຽວຂ້ອງກັບການທົດແທນຕົວແປ GCONV_PATH, ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອກໍານົດເສັ້ນທາງໄປຫາຫ້ອງສະຫມຸດການປ່ຽນສັນຍາລັກ, ໂຫຼດແບບໄດນາມິກໃນເວລາທີ່ໂທຫາຟັງຊັນ g_printerr(), ລະຫັດທີ່ໃຊ້ iconv_open(). ໂດຍການກໍານົດເສັ້ນທາງໃຫມ່ໃນ GCONV_PATH, ຜູ້ໂຈມຕີສາມາດຮັບປະກັນວ່າມັນບໍ່ແມ່ນຫ້ອງສະຫມຸດ iconv ມາດຕະຖານທີ່ໂຫລດ, ແຕ່ຫ້ອງສະຫມຸດຂອງມັນເອງ, ຕົວຈັດການຈະຖືກປະຕິບັດໃນເວລາທີ່ຂໍ້ຄວາມສະແດງຂໍ້ຜິດພາດຖືກສະແດງຢູ່ໃນຂັ້ນຕອນທີ່ pkexec ຍັງເຮັດວຽກຢູ່. ສິດຂອງຮາກແລະກ່ອນທີ່ຈະເປີດການອະນຸຍາດຖືກກວດສອບ.

ມັນໄດ້ຖືກສັງເກດເຫັນວ່າເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າບັນຫາແມ່ນເກີດຈາກການສໍ້ລາດບັງຫຼວງຂອງຫນ່ວຍຄວາມຈໍາ, ມັນສາມາດຖືກນໍາໄປໃຊ້ຢ່າງຫນ້າເຊື່ອຖືແລະຊ້ໍາຊ້ອນໂດຍບໍ່ຄໍານຶງເຖິງສະຖາປັດຕະຍະກໍາຮາດແວທີ່ໃຊ້. ການຂູດຮີດທີ່ກະກຽມໄດ້ຖືກທົດສອບຢ່າງສໍາເລັດຜົນໃນ Ubuntu, Debian, Fedora ແລະ CentOS, ແຕ່ຍັງສາມາດຖືກນໍາໃຊ້ກັບການແຈກຢາຍອື່ນໆ. ການຂູດຮີດຕົ້ນສະບັບແມ່ນຍັງບໍ່ທັນເປີດເຜີຍຕໍ່ສາທາລະນະ, ສະແດງໃຫ້ເຫັນວ່າມັນເປັນເລື່ອງເລັກໆນ້ອຍໆແລະສາມາດສ້າງໃຫມ່ໄດ້ຢ່າງງ່າຍດາຍໂດຍນັກຄົ້ນຄວ້າອື່ນໆ, ດັ່ງນັ້ນ, ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະຕິດຕັ້ງການປັບປຸງ patch ໄວເທົ່າທີ່ຈະເປັນໄປໄດ້ໃນລະບົບຫຼາຍຜູ້ໃຊ້. Polkit ຍັງມີຢູ່ໃນລະບົບ BSD ແລະ Solaris, ແຕ່ຍັງບໍ່ທັນໄດ້ສຶກສາສໍາລັບການນໍາໃຊ້ໃນພວກມັນ. ສິ່ງທີ່ຮູ້ແມ່ນວ່າການໂຈມຕີບໍ່ສາມາດດໍາເນີນການໄດ້ໃນ OpenBSD, ເນື່ອງຈາກວ່າ OpenBSD kernel ບໍ່ອະນຸຍາດໃຫ້ສົ່ງຄ່າ null argc ເມື່ອ execve() ຖືກເອີ້ນ.

ບັນຫາມີຢູ່ຕັ້ງແຕ່ເດືອນພຶດສະພາ 2009, ນັບຕັ້ງແຕ່ການເພີ່ມຄໍາສັ່ງ pkexec. ການແກ້ໄຂສໍາລັບຊ່ອງໂຫວ່ PolKit ແມ່ນມີຢູ່ໃນປັດຈຸບັນເປັນ patch (ບໍ່ມີການປ່ອຍ patch ໄດ້ຖືກປ່ອຍອອກມາ), ແຕ່ເນື່ອງຈາກຜູ້ພັດທະນາການແຈກຢາຍໄດ້ຮັບການແຈ້ງບອກບັນຫາລ່ວງຫນ້າ, ການແຈກຢາຍສ່ວນໃຫຍ່ໄດ້ເຜີຍແຜ່ການປັບປຸງພ້ອມໆກັນກັບການເປີດເຜີຍຂໍ້ມູນກ່ຽວກັບຄວາມອ່ອນແອ. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນ RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux ແລະ Manjaro. ເປັນມາດຕະການຊົ່ວຄາວເພື່ອສະກັດຊ່ອງໂຫວ່, ທ່ານສາມາດເອົາທຸງຮາກ SUID ອອກຈາກໂປຣແກຣມ /usr/bin/pkexec (“chmod 0755 /usr/bin/pkexec”).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru