Het bedrijf Hacktron heeft details vrijgegeven over een demonstratieaanval op de hosting van de vrije software GNU Savannah, die nog steeds wordt gebruikt voor de ontwikkeling van verschillende GNU-tools, waaronder Bash en Coreutils. Tijdens het experiment was het mogelijk om op de server van GNU Savannah code uit te voeren, rootrechten te verkrijgen, de SSH-sleutels van de Bash-ondersteuner te vervangen, wijzigingen aan te brengen in de belangrijkste git-repository van het Bash-project en toegang te krijgen tot de server met back-ups.
De testaanval en de geconstateerde problemen zijn onmiddellijk aan de beheerders van GNU Savannah gemeld. De problemen zijn in mei verholpen. In totaal hebben de onderzoekers 9 kwetsbaarheden geĆÆdentificeerd, waarvan er 2 als kritiek en 4 als gevaarlijk werden beschouwd. De eerste kritieke kwetsbaarheid maakte het mogelijk om de authenticatie te omzeilen bij toegang tot instellingen die alleen voor de sitebeheerder beschikbaar zijn (siteadmin/triggercreation.php).
De tweede kritieke kwetsbaarheid maakte het mogelijk om code uit te voeren op de server door een speciaal gevormde e-mail op te geven. Het probleem werd veroorzaakt door het ontbreken van de juiste ontsnapping van speciale tekens en kon worden uitgebuit door tijdens de registratie een e-mail van het type āa`touch${IFS}\/tmp\/savane-rce-proof`@example.comā in te voeren, gevolgd door het klikken op de GPG-sleuteltjestestknop in de webinterface (de e-mail werd in de opdrachtregel van de gpg-tool geplaatst, aangeroepen via de PHP-functie proc_open()).
Nadat de onderzoekers code met de webserverrechten hadden uitgevoerd, vonden ze het toegangswachtwoord tot de database in een configuratiebestand en wijzigden ze in de database de toegangsrechten voor hun geregistreerde account van een niet-privileged gebruiker naar een beheerder. Beheerdersrechten in de webinterface van Savannah maakten het mogelijk om onder elke gebruiker te werken zonder een wachtwoord in te voeren. De onderzoekers maakten gebruik van deze mogelijkheid, logden in als de ondersteuner van het Bash-project en vonden de optie om hun eigen SSH-sleutel toe te voegen voor verbinding met de git-repository. Bij het toevoegen van de sleutel was het mogelijk om commits naar Bash te sturen namens de ondersteuner.
Rootrechten op de server werden verkregen door de exploitatie van een eerder bekende kwetsbaarheid in de Linux-kernel, die niet was bijgewerkt op de server (de Trisquel GNU/Linux 11 distributie was geĆÆnstalleerd)
Ubuntu 22.04 met kernel linux-libre 5.15). Een kwetsbaarheid in OverlayFS (CVE-2023-2640) werd gebruikt voor de aanval. Opmerkelijk is dat de oplossing voor de kwetsbaarheid sinds 2023 beschikbaar was, maar het bedrijf Canonical het probleem pas snel oploste in de kernels 5.19 en 6.2, terwijl voor kernel 5.15 de patch pas op 7 mei 2026 werd uitgebracht. Nadat ze root-rechten verkregen, ontdekten onderzoekers een SSH-sleutel van de gebruiker "gnubackup", waarmee zonder wachtwoord verbinding gemaakt kon worden met de host met back-ups.
Bron: opennet.ru
