സ്നാപ്പ് പാക്കേജ് മാനേജ്മെന്റ് ടൂൾകിറ്റിൽ റൂട്ട് കേടുപാടുകൾ

SUID റൂട്ട് ഫ്ലാഗിനൊപ്പം വരുന്ന സ്‌നാപ്പ്-കോൺഫൈൻ യൂട്ടിലിറ്റിയിൽ ഈ വർഷത്തെ (CVE-2022-3328) അപകടകരമായ മൂന്നാമത്തെ അപകടസാധ്യത ക്വാളിസ് തിരിച്ചറിഞ്ഞു, ഇത് സ്വയം ഉൾക്കൊള്ളുന്ന പാക്കേജുകളിൽ വിതരണം ചെയ്യുന്ന ആപ്ലിക്കേഷനുകൾക്കായി എക്‌സിക്യൂട്ടബിൾ അന്തരീക്ഷം സൃഷ്‌ടിക്കുന്നതിന് സ്‌നാപ്‌ഡ് പ്രോസസ്സ് വിളിക്കുന്നു. സ്നാപ്പ് ഫോർമാറ്റിൽ. സ്ഥിരസ്ഥിതി ഉബുണ്ടു കോൺഫിഗറേഷനിൽ റൂട്ട് ആയി കോഡ് എക്സിക്യൂഷൻ നേടാൻ ഒരു ലോക്കൽ പ്രിവിലേജഡ് ഉപയോക്താവിനെ ദുർബലത അനുവദിക്കുന്നു. snapd 2.57.6 പതിപ്പിൽ പ്രശ്നം പരിഹരിച്ചു. ഉബുണ്ടുവിന്റെ എല്ലാ പിന്തുണയുള്ള ബ്രാഞ്ചുകൾക്കുമായി പാക്കേജ് അപ്‌ഡേറ്റുകൾ പുറത്തിറക്കി.

രസകരമെന്നു പറയട്ടെ, സ്‌നാപ്പ്-കോൺഫൈനിൽ സമാനമായ ഫെബ്രുവരിയിലെ കേടുപാടുകൾ പരിഹരിക്കുന്ന പ്രക്രിയയ്‌ക്കിടെയാണ് പ്രശ്‌നത്തിലുള്ള അപകടസാധ്യത അവതരിപ്പിച്ചത്. ഉബുണ്ടു സെർവർ 22.04-ലേക്ക് റൂട്ട് ആക്‌സസ് നൽകുന്ന ഒരു വർക്കിംഗ് എക്‌സ്‌പ്ലോയിറ്റ് തയ്യാറാക്കാൻ ഗവേഷകർക്ക് കഴിഞ്ഞു, സ്‌നാപ്പ്-കോൺഫൈനിലെ അപകടസാധ്യതയ്‌ക്ക് പുറമേ, മൾട്ടിപാത്ത് പ്രക്രിയയിലെ രണ്ട് അപകടങ്ങളും ഉൾപ്പെടുന്നു (CVE-2022-41974, CVE-2022-41973) , പ്രിവിലേജ്ഡ് കമാൻഡുകൾ കൈമാറുമ്പോൾ അധികാര പരിശോധനയെ മറികടക്കുന്നതുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, പ്രതീകാത്മക ലിങ്കുകളുള്ള സുരക്ഷിതമല്ലാത്ത ജോലി.

സ്‌നാപ്പ്-കോൺഫൈനിലെ കേടുപാടുകൾ സംഭവിക്കുന്നത് must_mkdir_and_open_with_perms() ഫംഗ്‌ഷനിലെ ഒരു റേസ് അവസ്ഥയാണ്, ഇത് /tmp/snap.$SNAP_NAME ഡയറക്‌ടറിയുടെ പകരക്കാരനെ സംരക്ഷിക്കുന്നതിനായി ചേർത്തിരിക്കുന്നു, ഉടമയെ പരിശോധിച്ചതിന് ശേഷം ഒരു പ്രതീകാത്മക ലിങ്ക് ഉപയോഗിച്ച്, എന്നാൽ മൗണ്ട് സിസ്റ്റത്തിലേക്ക് വിളിക്കുന്നതിന് മുമ്പ് സ്നാപ്പ് ഫോർമാറ്റിലുള്ള ഒരു പാക്കേജിനായി അതിലേക്ക് ഡയറക്ടറികൾ ബൈൻഡ്-മൗണ്ട് ചെയ്യാൻ വിളിക്കുക. /tmp/snap.$SNAP_NAME ഡയറക്‌ടറി നിലവിലുള്ളതും റൂട്ടിന്റെ ഉടമസ്ഥതയിലല്ലെങ്കിൽ ക്രമരഹിതമായ നാമമുള്ള /tmp-ലെ മറ്റൊരു ഡയറക്‌ടറിയിലേക്ക് പുനർനാമകരണം ചെയ്യുന്നതാണ് അധിക പരിരക്ഷ.

/tmp/snap.$SNAP_NAME ഡയറക്‌ടറി പുനർനാമകരണ പ്രവർത്തനം ഉപയോഗപ്പെടുത്തുമ്പോൾ, സ്‌നാപ്പ് പാക്കേജിന്റെ ഉള്ളടക്കത്തിന്റെ റൂട്ടിനായി സ്‌നാപ്പ്-കോൺഫൈൻ ഒരു /tmp/snap.rootfs_XXXXXX ഡയറക്‌ടറി സൃഷ്‌ടിക്കുന്നു എന്ന വസ്തുത ഗവേഷകർ പ്രയോജനപ്പെടുത്തി. പേരിന്റെ "XXXXXX" ഭാഗം mkdtemp() ക്രമരഹിതമായി തിരഞ്ഞെടുത്തു, എന്നാൽ "rootfs_XXXXXX" എന്ന് പേരുള്ള ഒരു പാക്കേജ് sc_instance_name_validate ഫംഗ്‌ഷനിൽ സാധൂകരിക്കാനാകും (അതായത് $SNAP_NAME എന്നത് "rootfs_XXXXXX" ആയി സജ്ജീകരിക്കുകയും തുടർന്ന് പ്രവർത്തനത്തിന്റെ പേരുമാറ്റുകയും ചെയ്യുമെന്നാണ് ആശയം. റൂട്ട് സ്നാപ്പ് ഉപയോഗിച്ച് /tmp/snap.rootfs_XXXXXX ഡയറക്‌ടറി തിരുത്തിയെഴുതാൻ ഇടയാക്കും).

/tmp/snap.rootfs_XXXXXX എന്നതിന്റെ ഒരേസമയം ഉപയോഗിക്കുന്നതിനും /tmp/snap.$SNAP_NAME എന്നതിന്റെ പേരുമാറ്റുന്നതിനും വേണ്ടി, സ്‌നാപ്പ്-കോൺഫൈനിന്റെ രണ്ട് സന്ദർഭങ്ങൾ സമാരംഭിച്ചു. ആദ്യ സന്ദർഭം /tmp/snap.rootfs_XXXXXX സൃഷ്ടിച്ചുകഴിഞ്ഞാൽ, പ്രോസസ്സ് തടയുകയും രണ്ടാമത്തെ ഉദാഹരണം rootfs_XXXXXX എന്ന പാക്കേജ് നാമത്തിൽ ആരംഭിക്കുകയും ചെയ്യും, ഇത് രണ്ടാമത്തെ സംഭവത്തിന്റെ താൽക്കാലിക ഡയറക്ടറി /tmp/snap.$SNAP_NAME റൂട്ട് ഡയറക്‌ടറി /tmp/snap ആയി മാറും. ആദ്യത്തേതിൽ .rootfs_XXXXXX. പുനർനാമകരണം പൂർത്തിയാക്കിയ ഉടൻ, രണ്ടാമത്തെ സംഭവം ക്രാഷായി, ഫെബ്രുവരിയിലെ അപകടസാധ്യത മുതലെടുക്കുമ്പോൾ പോലെ /tmp/snap.rootfs_XXXXXX എന്നതിന് പകരം റേസ് അവസ്ഥ കൃത്രിമത്വം നൽകി. സബ്സ്റ്റിറ്റ്യൂഷനുശേഷം, എക്സിക്യൂഷൻ ലോക്ക് ആദ്യ സംഭവത്തിൽ നിന്ന് നീക്കം ചെയ്യുകയും ആക്രമണകാരികൾ സ്നാപ്പ് റൂട്ട് ഡയറക്‌ടറിയുടെ പൂർണ്ണ നിയന്ത്രണം നേടുകയും ചെയ്തു.

മൗണ്ട്() കോൾ മുതൽ ഫയൽ സിസ്റ്റത്തിലെ ഏത് ഡയറക്‌ടറിയിലേക്കും റൈറ്റ് ചെയ്യാവുന്ന റിയൽ ഡയറക്‌ടറി /tmp ബൈൻഡ്-മൗണ്ട് ചെയ്യുന്നതിന് sc_bootstrap_mount_namespace() ഫംഗ്‌ഷൻ ഉപയോഗിച്ചിരുന്ന ഒരു സിംലിങ്ക് /tmp/snap.rootfs_XXXXXX/tmp സൃഷ്‌ടിക്കുക എന്നതായിരുന്നു അവസാന ഘട്ടം. മൗണ്ടുചെയ്യുന്നതിന് മുമ്പ് സിംലിങ്കുകൾ പിന്തുടരുന്നു. അത്തരം മൗണ്ടിംഗ് AppArmor നിയന്ത്രണങ്ങളാൽ തടഞ്ഞു, എന്നാൽ ഈ ബ്ലോക്ക് മറികടക്കാൻ, ചൂഷണം മൾട്ടിപാഥിൽ രണ്ട് സഹായ കേടുപാടുകൾ ഉപയോഗിച്ചു.

അവലംബം: opennet.ru