PolKit मधील गंभीर असुरक्षा बहुतेक Linux वितरणांवर रूट प्रवेशास अनुमती देते

Qualys ने पोलकिट (पूर्वीचे पॉलिसीकिट) सिस्टीम घटकामध्ये असुरक्षितता (CVE-2021-4034) ओळखली आहे जे विशेषाधिकार नसलेल्या वापरकर्त्यांना उन्नत प्रवेश अधिकारांची आवश्यकता असलेल्या क्रिया करण्यास अनुमती देण्यासाठी वापरण्यात आले होते. असुरक्षितता एखाद्या विशेषाधिकार नसलेल्या स्थानिक वापरकर्त्याला त्यांचे विशेषाधिकार रूट करण्यासाठी आणि सिस्टमवर पूर्ण नियंत्रण मिळविण्याची परवानगी देते. समस्येचे कोडनेम PwnKit होते आणि बहुतेक Linux वितरणांवर डीफॉल्ट कॉन्फिगरेशनमध्ये चालणारे कार्यरत शोषण तयार करण्यासाठी लक्षणीय आहे.

समस्या PolKit च्या pkexec युटिलिटीमध्ये आहे, जी SUID रूट फ्लॅगसह येते आणि निर्दिष्ट PolKit नियमांनुसार दुसर्‍या वापरकर्त्याच्या विशेषाधिकारांसह कमांड चालविण्यासाठी डिझाइन केलेली आहे. pkexec ला पास केलेल्या कमांड लाइन आर्ग्युमेंट्सच्या चुकीच्या हाताळणीमुळे, एक विशेषाधिकार नसलेला वापरकर्ता प्रमाणीकरणास बायपास करू शकतो आणि प्रवेश नियम सेट केले असले तरीही त्यांचा कोड रूट म्हणून चालवू शकतो. आक्रमणासाठी, PolKit मध्ये कोणती सेटिंग्ज आणि निर्बंध निर्दिष्ट केले आहेत हे महत्त्वाचे नाही, pkexec युटिलिटीसह एक्झिक्युटेबल फाइलसाठी SUID रूट विशेषता सेट करणे पुरेसे आहे.

Pkexec प्रक्रिया सुरू करताना पास केलेल्या कमांड लाइन वितर्क संख्या (argc) ची वैधता तपासत नाही. pkexec च्या विकसकांनी असे गृहीत धरले की argv अॅरेमधील पहिल्या एंट्रीमध्ये नेहमी प्रक्रियेचे नाव असते (pkexec), आणि दुसरी एकतर NULL व्हॅल्यू किंवा pkexec द्वारे लॉन्च केलेल्या कमांडचे नाव असते. वितर्क संख्या अॅरेच्या वास्तविक सामग्रीच्या विरूद्ध तपासली जात नसल्यामुळे आणि नेहमी 1 पेक्षा जास्त असल्याचे गृहित धरले जात असल्याने, जर एखादी प्रक्रिया रिक्त argv अॅरे पास केली गेली असेल, जसे Linux execve फंक्शन परवानगी देते, pkexec NULL ला पहिला वितर्क मानेल ( प्रक्रियेचे नाव) आणि पुढील एक बफर मेमरीच्या बाहेर, अॅरेच्या पुढील सामग्रीप्रमाणे. |———+———+——+————|———+———+——+———— | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| VVVVVV "प्रोग्राम" "-option" NULL "मूल्य" "PATH=name" NULL

समस्या अशी आहे की argv अॅरे नंतर मेमरीमध्ये पर्यावरण व्हेरिएबल्स असलेली envp अॅरे आहे. अशाप्रकारे, argv अ‍ॅरे रिकामे असल्यास, pkexec पर्यावरण व्हेरिएबल्ससह अॅरेच्या पहिल्या घटकामधून एलिव्हेटेड विशेषाधिकारांसह चालवल्या जाणार्‍या कमांडबद्दल डेटा काढतो (argv[1] envp[0] प्रमाणेच झाला), त्यातील सामग्री नियंत्रित केली जाऊ शकते. हल्लेखोराने.

argv[1] चे मूल्य प्राप्त केल्यानंतर, pkexec, PATH मधील फाईल पथ विचारात घेऊन, एक्झिक्युटेबल फाईलचा पूर्ण मार्ग निर्धारित करण्याचा प्रयत्न करतो आणि argv[1] कडे पूर्ण मार्गासह स्ट्रिंगला पॉइंटर लिहितो, जे प्रथम पर्यावरण व्हेरिएबलचे मूल्य ओव्हरराइट करते, कारण argv[1] envp[0] सारखेच आहे. पहिल्या एन्व्हायर्नमेंट व्हेरिएबलच्या नावात फेरफार करून, आक्रमणकर्ता pkexec मध्ये दुसरे पर्यावरण व्हेरिएबल बदलू शकतो, उदाहरणार्थ, "LD_PRELOAD" पर्यावरण व्हेरिएबल बदलू शकतो, ज्याला suid प्रोग्राम्समध्ये परवानगी नाही, आणि त्यांच्या सामायिक लायब्ररीमध्ये लोड करण्याची व्यवस्था करा. प्रक्रिया

कार्यरत शोषणामध्ये GCONV_PATH व्हेरिएबल बदलणे समाविष्ट आहे, ज्याचा वापर प्रतीक ट्रान्सकोडिंग लायब्ररीचा मार्ग निर्धारित करण्यासाठी केला जातो, g_printerr() फंक्शनला कॉल करताना डायनॅमिकली लोड केले जाते, ज्याचा कोड iconv_open() वापरतो. GCONV_PATH मधील पथ पुन्हा परिभाषित करून, आक्रमणकर्ता हे सुनिश्चित करू शकतो की ती लोड केलेली मानक iconv लायब्ररी नाही, तर त्याची स्वतःची लायब्ररी आहे, ज्यातून pkexec अजूनही चालू असताना स्टेजवर एरर मेसेज प्रदर्शित झाल्यावर हँडलर कार्यान्वित केले जातील. रूट अधिकार आणि लाँच करण्यापूर्वी परवानग्या तपासल्या जातात.

हे लक्षात घेतले जाते की समस्या मेमरी दूषित झाल्यामुळे उद्भवली असूनही, वापरलेल्या हार्डवेअर आर्किटेक्चरची पर्वा न करता ते विश्वसनीयपणे आणि वारंवार शोषण केले जाऊ शकते. तयार केलेल्या शोषणाची उबंटू, डेबियन, फेडोरा आणि CentOS वर यशस्वीरित्या चाचणी केली गेली आहे, परंतु इतर वितरणांवर देखील वापरली जाऊ शकते. मूळ शोषण अद्याप सार्वजनिकरित्या उपलब्ध नाही, हे दर्शविते की ते क्षुल्लक आहे आणि इतर संशोधकांद्वारे सहजपणे पुन्हा तयार केले जाऊ शकते, म्हणून बहु-वापरकर्ता सिस्टमवर शक्य तितक्या लवकर पॅच अद्यतन स्थापित करणे महत्वाचे आहे. पोलकिट बीएसडी प्रणाली आणि सोलारिससाठी देखील उपलब्ध आहे, परंतु त्यांच्या वापरासाठी अभ्यास केला गेला नाही. काय माहित आहे की हल्ला OpenBSD वर केला जाऊ शकत नाही, कारण OpenBSD कर्नल execve() कॉल केल्यावर null argc व्हॅल्यू पास करू देत नाही.

pkexec कमांड जोडल्यापासून ही समस्या मे 2009 पासून उपस्थित आहे. PolKit असुरक्षिततेचे निराकरण सध्या पॅच म्हणून उपलब्ध आहे (कोणताही पॅच रिलीझ केलेला नाही), परंतु वितरण विकासकांना समस्येबद्दल आगाऊ सूचित केले गेले असल्याने, बहुतेक वितरणांनी असुरक्षिततेबद्दल माहितीच्या प्रकटीकरणासह अद्यतन एकाच वेळी प्रकाशित केले. RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux आणि Manjaro मध्ये समस्या निश्चित केली आहे. असुरक्षा अवरोधित करण्यासाठी तात्पुरता उपाय म्हणून, तुम्ही /usr/bin/pkexec प्रोग्राम (“chmod 0755 /usr/bin/pkexec”) वरून SUID रूट ध्वज काढू शकता.

स्त्रोत: opennet.ru