smtpd, ldapd, radiusd എന്നിവയിൽ പ്രത്യേകാവകാശ വർദ്ധനവും പ്രാമാണീകരണ ബൈപാസും അനുവദിക്കുന്ന OpenBSD-യിലെ കേടുപാടുകൾ

ക്വാളിസ് കമ്പനി വെളിപ്പെടുത്തി നാല് പരാധീനതകൾ ഓപ്പൺബിഎസ്ഡിയിൽ, ചില നെറ്റ്‌വർക്ക് സേവനങ്ങളിലേക്ക് ആധികാരികത ഉറപ്പാക്കാതെ വിദൂരമായി കണക്റ്റുചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒന്ന്, മറ്റ് മൂന്നെണ്ണം സിസ്റ്റത്തിൽ അവരുടെ പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കുന്നതിന്. ഓപ്പൺബിഎസ്ഡി ഡെവലപ്പർമാരുടെ പെട്ടെന്നുള്ള പ്രതികരണം ക്വാളിസ് റിപ്പോർട്ട് ശ്രദ്ധിച്ചു - എല്ലാ പ്രശ്നങ്ങളും ഉണ്ടായിരുന്നു ഇല്ലാതാക്കി в ഓപ്പൺബിഎസ്ഡി 6.5 и ഓപ്പൺബിഎസ്ഡി 6.6 സ്വകാര്യ അറിയിപ്പ് കഴിഞ്ഞ് 40 മണിക്കൂറിനുള്ളിൽ.

ലിബിസി ലൈബ്രറിയിലെ പ്രാമാണീകരണ ഹാൻഡ്‌ലറിലേക്കുള്ള കോൾ ക്രമീകരിക്കുന്നതിലെ ഒരു പിശക് കൊണ്ടാണ് വിദൂരമായി ചൂഷണം ചെയ്യാവുന്ന അപകടസാധ്യത ഉണ്ടാകുന്നത്.
/usr/libexec/auth/login_style പ്രോഗ്രാം കമാൻഡ് ലൈനിൽ ആർഗ്യുമെന്റുകൾ കൈമാറുന്നു. "-s സേവനം" എന്ന ഓപ്‌ഷണൽ പാരാമീറ്റർ ഉപയോഗിച്ച് login_style-ലേക്ക് വിളിക്കുമ്പോൾ, പ്രോട്ടോക്കോളിന്റെ പേര് കൈമാറുന്നത് അനുവദനീയമാണ്. ഉപയോക്തൃനാമത്തിന്റെ തുടക്കത്തിൽ ഒരു "-" പ്രതീകം ഉപയോഗിച്ചിട്ടുണ്ടെങ്കിൽ, login_style പ്രവർത്തിപ്പിക്കുമ്പോൾ ഈ പേര് ഒരു ഓപ്ഷനായി പരിഗണിക്കും. അതനുസരിച്ച്, പ്രാമാണീകരണ വേളയിൽ നിങ്ങൾ ഉപയോക്തൃനാമമായി “-schallenge” അല്ലെങ്കിൽ “-schallenge: passwd” എന്ന് വ്യക്തമാക്കുകയാണെങ്കിൽ, ഹാൻഡ്‌ലർ ഉപയോഗിക്കാനുള്ള അഭ്യർത്ഥനയായി login_style അഭ്യർത്ഥിക്കും. എസ്/കീ.

login_style-ലെ S/Key പ്രോട്ടോക്കോൾ ഔപചാരികമായി മാത്രമേ പിന്തുണയ്ക്കുന്നുള്ളൂ, എന്നാൽ വിജയകരമായ പ്രാമാണീകരണത്തിന്റെ ഒരു അടയാളത്തിന്റെ ഔട്ട്പുട്ട് ഉപയോഗിച്ച് യഥാർത്ഥത്തിൽ അവഗണിക്കപ്പെടുന്നു എന്നതാണ് പ്രശ്നം. അങ്ങനെ, ഒരു ആക്രമണകാരിക്ക് "-schallenge" ഉപയോക്താവായി പോസ് ചെയ്യാനും പാസ്‌വേഡോ കീകളോ വ്യക്തമാക്കാതെ തന്നെ പ്രാമാണീകരണം മറികടന്ന് ആക്‌സസ് നേടാനും കഴിയും. പ്രാമാണീകരണത്തിനായി സാധാരണ libc കോളുകൾ ഉപയോഗിക്കുന്ന എല്ലാ നെറ്റ്‌വർക്ക് സേവനങ്ങളും പ്രശ്‌നം ബാധിച്ചേക്കാം. ഉദാഹരണത്തിന്, പ്രാമാണീകരണം മറികടക്കാനുള്ള കഴിവ് smtpd (AUTH PLAIN), ldapd, radiusd എന്നിവയിൽ സ്ഥിരീകരിച്ചിട്ടുണ്ട്.

sshd-ൽ ഈ അപകടസാധ്യത പ്രകടമാകില്ല, കാരണം സിസ്റ്റത്തിലെ ഉപയോക്താവിന്റെ സാന്നിധ്യം പരിശോധിക്കുമ്പോൾ ഇതിന് അധിക പരിരക്ഷയുണ്ട്. എന്നിരുന്നാലും, ഒരു സിസ്റ്റം ഒരു അപകടസാധ്യതയ്ക്ക് വിധേയമാണോ എന്ന് പരിശോധിക്കാൻ sshd ഉപയോഗിക്കാം - "-sresponse:passwd" എന്ന ഉപയോക്തൃനാമം ആക്‌സസ് ചെയ്യുമ്പോൾ, കണക്ഷൻ ഹാംഗ് ചെയ്യുന്നു, കാരണം കോളിന്റെ പാരാമീറ്ററുകൾ (ചലഞ്ച്), login_passwd എന്നിവ തിരികെ നൽകാൻ sshd login_passwd കാത്തിരിക്കുന്നു. നഷ്‌ടമായ പാരാമീറ്ററുകളുടെ കൈമാറ്റത്തിനായി കാത്തിരിക്കുന്നു ("- sresponse" എന്ന പേര് ഒരു ഓപ്ഷനായി എടുക്കുന്നു). ഒരു പ്രാദേശിക ആക്രമണകാരിക്ക് su യൂട്ടിലിറ്റിയിൽ പ്രാമാണീകരണം മറികടക്കാൻ ശ്രമിക്കാം, പക്ഷേ "-sresponse" എന്ന പേര് പാസ്സുചെയ്യുന്നത്, getpwnam_r("-schallenge", ...) ഫംഗ്‌ഷൻ എക്‌സിക്യൂട്ട് ചെയ്യുമ്പോൾ ഒരു നൾ പോയിന്ററിന്റെ റിട്ടേൺ കാരണം പ്രോസസ്സ് തകരാറിലാകുന്നു. .

മറ്റ് കേടുപാടുകൾ:

• CVE-2019-19520 - ഗ്രൂപ്പിനെ "ഓത്ത്" ആയി മാറ്റുന്ന sgid ഫ്ലാഗിനൊപ്പം വരുന്ന xlock യൂട്ടിലിറ്റി കൈകാര്യം ചെയ്യുന്നതിലൂടെ പ്രാദേശിക പ്രത്യേകാവകാശ വർദ്ധനവ്. xlock കോഡിൽ, ഉപയോക്തൃ ഐഡി (സെറ്റൂയിഡ്) മാറ്റുമ്പോൾ മാത്രമേ ലൈബ്രറി പാത്തുകളുടെ പുനർനിർവ്വചനം നിരോധിച്ചിട്ടുള്ളൂ, ഇത് "LIBGL_DRIVERS_PATH" എന്ന എൻവയോൺമെന്റ് വേരിയബിൾ മാറ്റാനും അവന്റെ പങ്കിട്ട ലൈബ്രറിയുടെ ലോഡിംഗ് ഓർഗനൈസ് ചെയ്യാനും ആക്രമണകാരിയെ അനുവദിക്കുന്നു, അതിന്റെ കോഡ് എക്സിക്യൂട്ട് ചെയ്യപ്പെടും. "ഓത്ത്" ഗ്രൂപ്പിലേക്കുള്ള പ്രിവിലേജ് വർദ്ധനവിന് ശേഷം.
• CVE-2019-19522 - സിസ്റ്റത്തിൽ S/Key അല്ലെങ്കിൽ YubiKey പ്രാമാണീകരണം പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ (സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനക്ഷമമാക്കിയിട്ടില്ല) കോഡ് റൂട്ടായി പ്രവർത്തിപ്പിക്കാൻ "ഓത്ത്" ഗ്രൂപ്പിലെ ഒരു പ്രാദേശിക ഉപയോക്താവിനെ അനുവദിക്കുന്നു. മുകളിലെ xlock ദുർബലത പ്രയോജനപ്പെടുത്തി ആക്‌സസ് ചെയ്യാൻ കഴിയുന്ന "auth" ഗ്രൂപ്പിലെ അംഗത്വം, /etc/skey, /var/db/yubikey ഡയറക്‌ടറികളിലേക്ക് ഫയലുകൾ എഴുതാൻ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്, S/Key വഴി റൂട്ട് പ്രാമാണീകരണത്തിനായി ഒറ്റത്തവണ കീകൾ സൃഷ്ടിക്കുന്നതിന് ഒരു ആക്രമണകാരിക്ക് ഒരു പുതിയ /etc/skey/root ഫയൽ ചേർക്കാൻ കഴിയും.
• CVE-2019-19519 - su യൂട്ടിലിറ്റി ഉപയോഗിച്ചുള്ള കൃത്രിമങ്ങൾ വഴി റിസോഴ്സ് പരിധി വർദ്ധിപ്പിക്കാനുള്ള സാധ്യത. പരാജയപ്പെടുമ്പോൾ പ്രാമാണീകരണ ശ്രമങ്ങളുടെ ചാക്രികമായ ആവർത്തനത്തെ സൂചിപ്പിക്കുന്ന "-L" ഓപ്ഷൻ വ്യക്തമാക്കുമ്പോൾ, ഉപയോക്തൃ ക്ലാസ് ഒരു തവണ മാത്രമേ സജ്ജീകരിച്ചിട്ടുള്ളൂ, തുടർന്നുള്ള ശ്രമങ്ങളിൽ പുനഃസജ്ജമാക്കില്ല. മറ്റൊരു അക്കൗണ്ട് ക്ലാസ് ഉപയോഗിച്ച് മറ്റൊരാളുടെ ലോഗിൻ നൽകാനുള്ള ആദ്യ ശ്രമത്തിൽ തന്നെ ഒരു ആക്രമണകാരിക്ക് “su -l -L” എക്സിക്യൂട്ട് ചെയ്യാൻ കഴിയും, എന്നാൽ രണ്ടാമത്തെ ശ്രമത്തിൽ തന്റെ കീഴിൽ തന്നെ പ്രാമാണീകരിക്കാൻ കഴിയും. ഈ സാഹചര്യത്തിൽ, ആദ്യ ശ്രമത്തിൽ വ്യക്തമാക്കിയ ഉപയോക്തൃ ക്ലാസിന് അനുയോജ്യമായ പരിധികൾ ഉപയോക്താവിന് സജ്ജീകരിക്കും (ഉദാഹരണത്തിന്, ഒരു പ്രോസസ്സിന്റെ പരമാവധി എണ്ണം അല്ലെങ്കിൽ മെമ്മറി വലുപ്പം). റൂട്ട് ഉപയോക്താവ് വീൽ ഗ്രൂപ്പിലായിരിക്കേണ്ടതിനാൽ, പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താക്കളിൽ നിന്ന് പരിധികൾ കടമെടുക്കുന്നതിന് മാത്രമേ ഈ രീതി പ്രവർത്തിക്കൂ.

കൂടാതെ, ഇത് ശ്രദ്ധിക്കാവുന്നതാണ് നടപ്പിലാക്കൽ ഓപ്പൺബിഎസ്ഡിയിൽ സിസ്റ്റം കോളുകളുടെ സാധുത പരിശോധിക്കുന്നതിനുള്ള ഒരു പുതിയ രീതി, കേടുപാടുകൾ ചൂഷണം ചെയ്യുന്നത് കൂടുതൽ സങ്കീർണ്ണമാക്കുന്നു. മുമ്പ് രജിസ്റ്റർ ചെയ്ത മെമ്മറി ഏരിയകളിൽ നിന്ന് ആക്സസ് ചെയ്താൽ മാത്രമേ സിസ്റ്റം കോളുകൾ എക്സിക്യൂട്ട് ചെയ്യാൻ ഈ രീതി അനുവദിക്കുന്നു. ഓർമ്മയുടെ മേഖലകൾ അടയാളപ്പെടുത്താൻ നിർദ്ദേശിച്ചു പുതിയ സിസ്റ്റം കോൾ msyscal().

അവലംബം: opennet.ru