മിക്ക ലിനക്‌സ് വിതരണങ്ങളിലും റൂട്ട് ആക്‌സസ് അനുവദിക്കുന്ന പോൾകിറ്റിലെ ഗുരുതരമായ അപകടസാധ്യത

വിതരണങ്ങളിൽ ഉപയോഗിച്ചിരുന്ന പോൾകിറ്റ് (മുമ്പ് പോളിസികിറ്റ്) സിസ്റ്റം ഘടകത്തിൽ ക്വാളിസ് ഒരു കേടുപാടുകൾ (CVE-2021-4034) തിരിച്ചറിഞ്ഞു, ഉയർന്ന ആക്‌സസ് അവകാശങ്ങൾ ആവശ്യമായ പ്രവർത്തനങ്ങൾ നടത്താൻ പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താക്കളെ അനുവദിക്കുന്നു. വ്യവസ്ഥാപിതമല്ലാത്ത ഒരു പ്രാദേശിക ഉപയോക്താവിനെ റൂട്ട് ചെയ്യാനും സിസ്റ്റത്തിന്റെ പൂർണ്ണ നിയന്ത്രണം നേടാനും അവരുടെ പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കാൻ ഈ ദുർബലത അനുവദിക്കുന്നു. പ്രശ്‌നത്തിന് PwnKit എന്ന കോഡ് നാമം നൽകി, മിക്ക ലിനക്സ് വിതരണങ്ങളിലും സ്ഥിരസ്ഥിതി കോൺഫിഗറേഷനിൽ പ്രവർത്തിക്കുന്ന ഒരു പ്രവർത്തന ചൂഷണം സൃഷ്ടിക്കുന്നതിൽ ഇത് ശ്രദ്ധേയമാണ്.

PolKit-ന്റെ pkexec യൂട്ടിലിറ്റിയിലാണ് പ്രശ്നം ഉള്ളത്, അത് SUID റൂട്ട് ഫ്ലാഗിനൊപ്പം വരുന്നതും നിർദ്ദിഷ്ട PolKit നിയമങ്ങൾക്കനുസരിച്ച് മറ്റൊരു ഉപയോക്താവിന്റെ പ്രത്യേകാവകാശങ്ങൾ ഉപയോഗിച്ച് കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന് രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതുമാണ്. pkexec-ലേക്ക് കൈമാറിയ കമാൻഡ് ലൈൻ ആർഗ്യുമെന്റുകളുടെ തെറ്റായ കൈകാര്യം ചെയ്യൽ കാരണം, ഒരു പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താവിന് ആധികാരികത ഒഴിവാക്കാനും അവരുടെ കോഡ് റൂട്ട് ആയി പ്രവർത്തിക്കാനും കഴിയും. ഒരു ആക്രമണത്തിന്, PolKit-ൽ എന്ത് ക്രമീകരണങ്ങളും നിയന്ത്രണങ്ങളും വ്യക്തമാക്കിയിട്ടുണ്ടെന്നത് പ്രശ്നമല്ല, pkexec യൂട്ടിലിറ്റി ഉപയോഗിച്ച് എക്സിക്യൂട്ടബിൾ ഫയലിനായി SUID റൂട്ട് ആട്രിബ്യൂട്ട് സജ്ജമാക്കിയാൽ മതി.

ഒരു പ്രോസസ്സ് ആരംഭിക്കുമ്പോൾ പാസ്സാക്കിയ കമാൻഡ് ലൈൻ ആർഗ്യുമെന്റ് കൗണ്ടിന്റെ (argc) സാധുത Pkexec പരിശോധിക്കുന്നില്ല. argv അറേയിലെ ആദ്യ എൻട്രിയിൽ എല്ലായ്‌പ്പോഴും പ്രോസസിന്റെ പേരും (pkexec) രണ്ടാമത്തേതിൽ NULL മൂല്യമോ pkexec വഴി ലോഞ്ച് ചെയ്ത കമാൻഡിന്റെ പേരോ അടങ്ങിയിരിക്കുമെന്ന് pkexec-ന്റെ ഡെവലപ്പർമാർ അനുമാനിച്ചു. അറേയുടെ യഥാർത്ഥ ഉള്ളടക്കങ്ങൾക്കെതിരെ ആർഗ്യുമെന്റ് കൗണ്ട് പരിശോധിക്കാത്തതിനാൽ എല്ലായ്പ്പോഴും 1 നേക്കാൾ വലുതായിരിക്കുമെന്ന് അനുമാനിക്കപ്പെട്ടതിനാൽ, ഒരു പ്രോസസ്സ് ഒരു ശൂന്യമായ argv അറേ കടന്നുപോകുകയാണെങ്കിൽ, Linux execve ഫംഗ്ഷൻ അനുവദിക്കുന്നതുപോലെ, pkexec NULL നെ ആദ്യ ആർഗ്യുമെന്റായി കണക്കാക്കും ( പ്രക്രിയയുടെ പേര്) കൂടാതെ അടുത്തത് ബഫർ മെമ്മറിക്ക് പുറത്തുള്ളതും, അറേയുടെ തുടർന്നുള്ള ഉള്ളടക്കം പോലെ. |———+———+——+———|———+———+——+———| | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| VVVVVV "പ്രോഗ്രാം" "-ഓപ്ഷൻ" NULL "മൂല്യം" "പാത്ത്=പേര്" NULL

argv അറേയ്‌ക്ക് ശേഷം എൻവയോൺമെന്റ് വേരിയബിളുകൾ അടങ്ങിയ ഒരു envp അറേ മെമ്മറിയിൽ ഉണ്ട് എന്നതാണ് പ്രശ്‌നം. അങ്ങനെ, argv അറേ ശൂന്യമാണെങ്കിൽ, എൻവയോൺമെന്റ് വേരിയബിളുകളുള്ള (argv[1] envp[0] ന് സമാനമായി) അറേയുടെ ആദ്യ ഘടകത്തിൽ നിന്ന് ഉയർന്ന പ്രത്യേകാവകാശങ്ങളോടെ റൺ ചെയ്യുന്ന കമാൻഡിനെക്കുറിച്ചുള്ള ഡാറ്റ pkexec എക്‌സ്‌ട്രാക്റ്റ് ചെയ്യുന്നു, അതിലെ ഉള്ളടക്കങ്ങൾ നിയന്ത്രിക്കാനാകും. അക്രമി മുഖേന.

argv[1] ന്റെ മൂല്യം ലഭിച്ച ശേഷം, pkexec, PATH-ലെ ഫയൽ പാതകൾ കണക്കിലെടുത്ത്, എക്സിക്യൂട്ടബിൾ ഫയലിലേക്കുള്ള മുഴുവൻ പാതയും നിർണ്ണയിക്കാൻ ശ്രമിക്കുന്നു, കൂടാതെ argv-ലേക്കുള്ള മുഴുവൻ പാതയും ഉപയോഗിച്ച് സ്ട്രിംഗിലേക്ക് ഒരു പോയിന്റർ എഴുതുന്നു, അത് ആദ്യത്തെ എൻവയോൺമെന്റ് വേരിയബിളിന്റെ മൂല്യം തിരുത്തിയെഴുതുന്നതിലേക്ക് നയിക്കുന്നു, കാരണം argv[1] envp[1] ന് സമാനമാണ്. ആദ്യത്തെ എൻവയോൺമെന്റ് വേരിയബിളിന്റെ പേര് കൈകാര്യം ചെയ്യുന്നതിലൂടെ, ഒരു ആക്രമണകാരിക്ക് pkexec-ൽ മറ്റൊരു എൻവയോൺമെന്റ് വേരിയബിൾ പകരം വയ്ക്കാൻ കഴിയും, ഉദാഹരണത്തിന്, suid പ്രോഗ്രാമുകളിൽ അനുവദനീയമല്ലാത്ത "LD_PRELOAD" എൻവയോൺമെന്റ് വേരിയബിളിന് പകരം വയ്ക്കുക, ഒപ്പം അവരുടെ പങ്കിട്ട ലൈബ്രറിയിലേക്ക് ലോഡുചെയ്യാൻ ക്രമീകരിക്കുകയും ചെയ്യുക. പ്രക്രിയ.

G_printerr() ഫംഗ്‌ഷനിലേക്ക് വിളിക്കുമ്പോൾ ചലനാത്മകമായി ലോഡുചെയ്യുന്ന, ചിഹ്ന ട്രാൻസ്‌കോഡിംഗ് ലൈബ്രറിയിലേക്കുള്ള പാത നിർണ്ണയിക്കാൻ ഉപയോഗിക്കുന്ന GCONV_PATH വേരിയബിളിന് പകരം വയ്ക്കുന്നത് പ്രവർത്തന ചൂഷണത്തിൽ ഉൾപ്പെടുന്നു, ഇതിന്റെ കോഡ് iconv_open() ഉപയോഗിക്കുന്നു. GCONV_PATH-ൽ പാത പുനർനിർവചിക്കുന്നതിലൂടെ, ഒരു ആക്രമണകാരിക്ക് അത് ലോഡ് ചെയ്തിരിക്കുന്നത് സ്റ്റാൻഡേർഡ് iconv ലൈബ്രറിയല്ല, മറിച്ച് സ്വന്തം ലൈബ്രറിയാണെന്ന് ഉറപ്പാക്കാൻ കഴിയും, pkexec പ്രവർത്തിക്കുന്ന ഘട്ടത്തിൽ ഒരു പിശക് സന്ദേശം ദൃശ്യമാകുമ്പോൾ അതിൽ നിന്നുള്ള ഹാൻഡ്‌ലറുകൾ എക്‌സിക്യൂട്ട് ചെയ്യപ്പെടും. റൂട്ട് അവകാശങ്ങളും ലോഞ്ച് ചെയ്യുന്നതിന് മുമ്പുള്ള അനുമതികളും പരിശോധിക്കുന്നു.

മെമ്മറി കറപ്ഷനാണ് പ്രശ്‌നത്തിന് കാരണമായതെങ്കിലും, ഉപയോഗിച്ച ഹാർഡ്‌വെയർ ആർക്കിടെക്ചർ പരിഗണിക്കാതെ തന്നെ ഇത് വിശ്വസനീയമായും ആവർത്തിച്ച് ചൂഷണം ചെയ്യാമെന്നും ശ്രദ്ധിക്കപ്പെടുന്നു. തയ്യാറാക്കിയ ചൂഷണം ഉബുണ്ടു, ഡെബിയൻ, ഫെഡോറ, സെന്റോസ് എന്നിവയിൽ വിജയകരമായി പരീക്ഷിച്ചു, എന്നാൽ മറ്റ് വിതരണങ്ങളിലും ഉപയോഗിക്കാം. യഥാർത്ഥ ചൂഷണം ഇതുവരെ പൊതുവായി ലഭ്യമല്ല, ഇത് നിസ്സാരമാണെന്നും മറ്റ് ഗവേഷകർക്ക് എളുപ്പത്തിൽ പുനർനിർമ്മിക്കാൻ കഴിയുമെന്നും സൂചിപ്പിക്കുന്നു, അതിനാൽ മൾട്ടി-യൂസർ സിസ്റ്റങ്ങളിൽ എത്രയും വേഗം പാച്ച് അപ്‌ഡേറ്റ് ഇൻസ്റ്റാൾ ചെയ്യേണ്ടത് പ്രധാനമാണ്. BSD സിസ്റ്റങ്ങൾക്കും സോളാരിസിനും പോൾകിറ്റ് ലഭ്യമാണ്, എന്നാൽ അവയിൽ ഉപയോഗിക്കുന്നതിന് പഠിച്ചിട്ടില്ല. ഓപ്പൺബിഎസ്ഡിയിൽ ആക്രമണം നടത്താൻ കഴിയില്ല എന്നതാണ് അറിയപ്പെടുന്നത്, കാരണം എക്സിക്വ്() എന്ന് വിളിക്കുമ്പോൾ ഒരു നൾ ആർജിസി മൂല്യം കൈമാറാൻ OpenBSD കേർണൽ അനുവദിക്കുന്നില്ല.

2009 മെയ് മുതൽ pkexec കമാൻഡ് ചേർത്തതുമുതൽ പ്രശ്നം നിലവിലുണ്ട്. പോൾകിറ്റ് കേടുപാടുകൾക്കുള്ള പരിഹാരം നിലവിൽ ഒരു പാച്ചായി ലഭ്യമാണ് (പാച്ച് റിലീസൊന്നും പുറത്തുവിട്ടിട്ടില്ല), എന്നാൽ വിതരണ ഡെവലപ്പർമാർക്ക് പ്രശ്നത്തെക്കുറിച്ച് മുൻകൂട്ടി അറിയിച്ചതിനാൽ, മിക്ക വിതരണങ്ങളും അപകടസാധ്യതയെക്കുറിച്ചുള്ള വിവരങ്ങൾ വെളിപ്പെടുത്തുന്നതിനൊപ്പം ഒരേസമയം അപ്‌ഡേറ്റ് പ്രസിദ്ധീകരിച്ചു. RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux, Manjaro എന്നിവയിൽ പ്രശ്നം പരിഹരിച്ചു. അപകടസാധ്യത തടയുന്നതിനുള്ള ഒരു താൽക്കാലിക നടപടിയെന്ന നിലയിൽ, നിങ്ങൾക്ക് /usr/bin/pkexec പ്രോഗ്രാമിൽ നിന്ന് SUID റൂട്ട് ഫ്ലാഗ് നീക്കംചെയ്യാം (“chmod 0755 /usr/bin/pkexec”).

അവലംബം: opennet.ru