Ескалацијата на привилегијата на OpenBSD и автентикацијата ги заобиколува пропустите во smtpd, ldapd и radiusd

Компанијата Квалис откриени четири ранливости во OpenBSD, од кои едната ви овозможува далечински да се поврзете без автентикација со некои мрежни услуги, а другите три ги зголемуваат вашите привилегии во системот. Извештајот Qualys го забележа брзиот одговор на програмерите на OpenBSD - сите проблеми беа елиминирани в OpenBSD 6.5 и OpenBSD 6.6 во рок од 40 часа по приватното известување.

Ранливоста што може да се експлоатира од далечина е предизвикана од грешка при повикување на управувачот за автентикација во библиотеката libc, која повикува
програма /usr/libexec/auth/login_style пренесување аргументи на командната линија. Вклучувајќи и при повикување login_style со користење на опционалниот параметар „-s service“, можно е да се пренесе името на протоколот. Ако користите знак „-“ на почетокот на корисничкото име, ова име ќе се третира како опција кога се извршува login_style. Според тоа, ако наведете „-schallenge“ или „-schallenge:passwd“ како корисничко име за време на автентикацијата, тогаш login_style ќе го сфати барањето како барање за користење на управувачот S/Клуч.

Проблемот е што протоколот S/Key во login_style е поддржан само формално, но всушност се игнорира со излез од знак за успешна автентикација. Така, напаѓачот може, претставувајќи се како корисник „-предизвик“, да ја заобиколи автентикацијата и да добие пристап без да обезбеди лозинка или клучеви. Сите мрежни услуги кои користат стандардни libc повици за автентикација се потенцијално погодени од проблемот. На пример, можноста за заобиколување на автентикацијата е поддржана во smtpd (AUTH PLAIN), ldapd и radiusd.

Ранливоста не се појавува во sshd, бидејќи има дополнителна заштита што го проверува присуството на корисникот во системот. Сепак, sshd може да се користи за тестирање на ранливоста на системот - при пристап до корисничкото име „-sresponse:passwd“, врската виси, бидејќи sshd чека login_passwd да ги врати параметрите на предизвикот, а login_passwd чека параметрите што недостасуваат за да биде испратено (името „- sresponse“ се третира како опција). Локален напаѓач би можел потенцијално да се обиде да ја заобиколи автентикацијата во су алатката, но пренесувањето на името „-sresponse“ предизвикува паѓање на процесот со враќање на нула покажувач при извршување на функцијата getpwnam_r("-schallenge", ...).

Други пропусти:

• CVE-2019-19520 Зголемување на локалните привилегии преку манипулација со алатката xlock испорачана со знаменцето sgid менувајќи ја групата во „auth“. Во кодот xlock, редефинирањето патеки до библиотеките е забрането само кога се менува корисничкиот идентификатор (setuid), што му овозможува на напаѓачот да ја промени променливата на околината „LIBGL_DRIVERS_PATH“ и да го организира вчитувањето на неговата заедничка библиотека, чиј код ќе биде извршен откако ги подигна привилегиите на групата „автомат“.
• CVE-2019-19522 - Дозволува локален корисник кој е член на групата „aut“ да работи код како root кога автентикацијата S/Key или YubiKey е овозможена на системот (не е стандардно активна). Приклучувањето на групата „auth“, до која може да се пристапи со искористување на горенаведената ранливост во xlock, ви овозможува да пишувате датотеки во директориумите /etc/skey и /var/db/yubikey. На пример, напаѓачот може да додаде нова датотека /etc/skey/root за да генерира еднократни клучеви за автентикација како root корисник преку S/Key.
• CVE-2019-19519 - можност за зголемување на ограничувањата на ресурсите преку манипулација со су комуналните услуги. Кога е наведена опцијата „-L“, што предизвикува обидите за автентикација да се повторуваат циклично ако не се успешни, класата на корисникот се поставува само еднаш и не се ресетира при следните обиди. Напаѓачот може да изврши „su-l-L“ при првиот обид да влезе во туѓо најавување со друга класа на сметка, но при вториот обид може успешно да се автентицира како себе. Во оваа ситуација, корисникот ќе подлежи на ограничувања врз основа на класата на корисникот наведена при првиот обид (на пример, максималниот број на процеси или големината на меморијата за еден процес). Методот работи само за ограничувања за позајмување од непривилегирани корисници, бидејќи root корисникот мора да биде во групата тркала).

Дополнително, може да се забележи имплементација во OpenBSD, нов метод за проверка на валидноста на системските повици, што дополнително го отежнува искористувањето на пропустите. Методот овозможува извршување на системските повици само ако се пристапува од претходно регистрирани мемориски области. За означување области на меморија предложи нов системски повик msyscall ().

Извор: opennet.ru