धेरै लिनक्स वितरणहरूमा रूट पहुँच अनुमति दिँदै PolKit मा महत्वपूर्ण जोखिम

Qualys ले पोल्किट (पहिलेको PolicyKit) प्रणाली कम्पोनेन्टमा असुरक्षितता (CVE-2021-4034) पहिचान गरेको छ, जसले विशेषाधिकारविहीन प्रयोगकर्ताहरूलाई उन्नत पहुँच अधिकारहरू आवश्यक पर्ने कार्यहरू गर्न अनुमति दिन प्रयोग गरिन्छ। जोखिमले एक विशेषाधिकार नभएको स्थानीय प्रयोगकर्तालाई आफ्नो विशेषाधिकारहरू रूट गर्न र प्रणालीको पूर्ण नियन्त्रण प्राप्त गर्न अनुमति दिन्छ। समस्याको कोडनाम PwnKit थियो र धेरै लिनक्स वितरणहरूमा पूर्वनिर्धारित कन्फिगरेसनमा चल्ने कार्य शोषण उत्पादनको लागि उल्लेखनीय छ।

समस्या PolKit को pkexec उपयोगितामा अवस्थित छ, जुन SUID रूट फ्ल्यागको साथ आउँछ र निर्दिष्ट PolKit नियमहरू अनुसार अर्को प्रयोगकर्ताको विशेषाधिकारहरूसँग आदेशहरू चलाउन डिजाइन गरिएको छ। pkexec लाई पास गरिएको कमाण्ड लाइन आर्गुमेन्टहरूको गलत ह्यान्डलिंगको कारणले, एक विशेषाधिकार प्राप्त प्रयोगकर्ताले प्रमाणीकरणलाई बाइपास गर्न सक्छ र पहुँच नियमहरू सेट गरे पनि तिनीहरूको कोड रूटको रूपमा चलाउन सक्छ। आक्रमणको लागि, PolKit मा कुन सेटिङहरू र प्रतिबन्धहरू निर्दिष्ट गरिएको छ भन्ने कुराले फरक पार्दैन, यो पर्याप्त छ कि SUID मूल विशेषता pkexec उपयोगितासँग कार्यान्वयनयोग्य फाइलको लागि सेट गरिएको छ।

Pkexec ले प्रक्रिया सुरु गर्दा पास भएको कमाण्ड लाइन आर्गुमेन्ट काउन्ट (argc) को वैधता जाँच गर्दैन। pkexec का विकासकर्ताहरूले मान्नुभयो कि argv array मा पहिलो प्रविष्टिमा सधैं प्रक्रियाको नाम (pkexec), र दोस्रोमा NULL मान वा pkexec मार्फत सुरु गरिएको आदेशको नाम समावेश हुन्छ। तर्क गणना array को वास्तविक सामाग्री विरुद्ध जाँच गरिएको थिएन र सधैं 1 भन्दा ठूलो मानिएको थियो, यदि एक प्रक्रिया एक खाली argv array पास गरियो, Linux execve प्रकार्यले अनुमति दिन्छ, pkexec ले NULL लाई पहिलो तर्कको रूपमा व्यवहार गर्नेछ ( प्रक्रियाको नाम) र अर्को बफर मेमोरी बाहिरको रूपमा, एरेको पछिल्ला सामग्रीहरू जस्तै। |———+———+——+———|———+———+——+ | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+—-|——| VVVVVV "कार्यक्रम" "-विकल्प" NULL "मान" "PATH = नाम" NULL

समस्या यो हो कि argv array पछि वातावरण चर समावेश गर्ने मेमोरीमा envp array छ। यसरी, यदि argv array खाली छ भने, pkexec ले वातावरण चर (argv[1] envp[0] सँग मिल्दोजुल्दो भयो), जसको सामग्रीहरू नियन्त्रण गर्न सकिन्छ। आक्रमणकारी द्वारा।

argv[1] को मान प्राप्त गरिसकेपछि, pkexec ले, PATH मा फाइल मार्गहरूलाई ध्यानमा राखेर, कार्यान्वयनयोग्य फाइलको पूर्ण मार्ग निर्धारण गर्न प्रयास गर्दछ र argv[1] मा फर्किने पूर्ण मार्गको साथ स्ट्रिङमा एउटा सूचक लेख्छ। पहिलो वातावरण चरको मान अधिलेखन गर्न नेतृत्व गर्दछ, किनकि argv[1] envp[0] सँग समान छ। पहिलो वातावरण चरको नाम हेरफेर गरेर, आक्रमणकारीले pkexec मा अर्को वातावरण चर प्रतिस्थापन गर्न सक्छ, उदाहरणका लागि, "LD_PRELOAD" वातावरण चर प्रतिस्थापन गर्नुहोस्, जसलाई suid कार्यक्रमहरूमा अनुमति छैन, र तिनीहरूको साझा पुस्तकालयमा लोड गर्नको लागि व्यवस्था गर्नुहोस्। प्रक्रिया।

कार्य शोषणमा GCONV_PATH चर प्रतिस्थापन समावेश छ, जुन प्रतीक ट्रान्सकोडिङ लाइब्रेरीको मार्ग निर्धारण गर्न प्रयोग गरिन्छ, g_printerr() प्रकार्यलाई कल गर्दा गतिशील रूपमा लोड हुन्छ, जसको कोड iconv_open() प्रयोग गर्दछ। GCONV_PATH मा मार्ग पुन: परिभाषित गरेर, आक्रमणकर्ताले यो सुनिश्चित गर्न सक्छ कि यो लोड गरिएको मानक iconv पुस्तकालय होइन, तर यसको आफ्नै पुस्तकालय हो, जसबाट ह्यान्डलरहरू कार्यान्वयन हुनेछन् जब चरणमा त्रुटि सन्देश प्रदर्शित हुन्छ जब pkexec अझै चलिरहेको छ। मूल अधिकारहरू र सुरूवात अनुमतिहरू अघि जाँच गरिन्छ।

यो नोट गरिएको छ कि समस्या मेमोरी भ्रष्टताको कारणले गर्दा भएको भए तापनि, प्रयोग गरिएको हार्डवेयर वास्तुकलाको पर्वाह नगरी यसलाई विश्वसनीय र दोहोर्याएर शोषण गर्न सकिन्छ। तयार शोषण Ubuntu, Debian, Fedora र CentOS मा सफलतापूर्वक परीक्षण गरिएको छ, तर अन्य वितरणहरूमा पनि प्रयोग गर्न सकिन्छ। मौलिक शोषण अझै सार्वजनिक रूपमा उपलब्ध छैन, यो मामूली छ र अन्य अनुसन्धानकर्ताहरूले सजिलैसँग पुन: सिर्जना गर्न सकिन्छ भनेर संकेत गर्दछ, त्यसैले बहु-प्रयोगकर्ता प्रणालीहरूमा जतिसक्दो चाँडो प्याच अपडेट स्थापना गर्न महत्त्वपूर्ण छ। Polkit BSD प्रणाली र सोलारिसका लागि पनि उपलब्ध छ, तर तिनीहरूमा प्रयोगको लागि अध्ययन गरिएको छैन। के थाहा छ कि आक्रमण OpenBSD मा गर्न सकिदैन, किनकि OpenBSD कर्नेलले execve() लाई कल गर्दा नल argc मान पास गर्न अनुमति दिदैन।

समस्या मे 2009 देखि उपस्थित छ, pkexec आदेश थपे पछि। PolKit असुरक्षाको लागि फिक्स हाल प्याचको रूपमा उपलब्ध छ (कुनै प्याच रिलिज जारी गरिएको छैन), तर वितरण विकासकर्ताहरूलाई समस्याको बारेमा अग्रिम सूचित गरिएको हुनाले, अधिकांश वितरणहरूले जोखिमको बारेमा जानकारीको खुलासासँगै अद्यावधिक प्रकाशित गरे। यो मुद्दा RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux र Manjaro मा फिक्स गरिएको छ। कमजोरी रोक्नको लागि अस्थायी उपायको रूपमा, तपाइँ /usr/bin/pkexec कार्यक्रम ("chmod 0755 /usr/bin/pkexec") बाट SUID मूल झण्डा हटाउन सक्नुहुन्छ।

स्रोत: opennet.ru