In de systemd-coredump component, dat zorgt voor de verwerking van core-bestanden die worden gegenereerd na een ongeplande beƫindiging van processen, is een kwetsbaarheid vastgesteld (CVE-2022-4415) die een niet-privilegierte lokale gebruiker in staat stelt de inhoud van het geheugen van de door root met het suid-vlag gerunste processen te bepalen. De aanwezigheid van het probleem in de standaardconfiguratie is bevestigd in de distributies openSUSE, Arch, Debian, Fedora en SLES.
De kwetsbaarheid wordt veroorzaakt door een gebrek aan correcte verwerking van de sysctl-parameter fs.suid_dumpable in systemd-coredump, die met de standaardwaarde 2 het genereren van core-dumps voor processen met de suid-vlag toestaat. Er wordt verondersteld dat de toegangsmachtigingen van core-bestanden die door de kernel voor suid-processen worden geschreven, alleen leesrechten voor de gebruiker root toestaan. De systemd-coredump utility, die door de kernel wordt aangeroepen om core-bestanden op te slaan, slaat het core-bestand op onder de identiteit van root, maar biedt daarnaast toegang tot core-bestanden op basis van ACL, dat lezen toestaat op basis van de identiteit van de eigenaar die het proces oorspronkelijk heeft gestart.
Deze eigenschap maakt het mogelijk om core-bestanden te laden zonder rekening te houden met het feit dat het programma de gebruikersidentiteit kan veranderen en met verhoogde privileges kan worden uitgevoerd. De aanval komt erop neer dat een gebruiker een suid-applicatie kan starten en deze een SIGSEGV-signaal kan sturen, waarna hij de inhoud van het core-bestand kan laden, dat een snapshot van het geheugen van het proces tijdens de ongeplande beƫindiging bevat.
Bijvoorbeeld, een gebruiker kan Ā«/usr/bin/suĀ» starten en in een andere terminal deze uitvoering beĆ«indigen met het commando Ā«kill -s SIGSEGV `pidof su`Ā», waarna systemd-coredump het core-bestand in de map /var/lib/systemd/coredump opslaat, met ACL-rechten die lezen voor de huidige gebruiker toestaan. Aangezien de suid-tool āsuā de inhoud van /etc/shadow in het geheugen leest, kan de aanvaller toegang krijgen tot informatie over de hashes van de wachtwoorden van alle gebruikers in het systeem. De utility sudo is niet kwetsbaar voor deze aanval, omdat deze het genereren van core-bestanden via ulimit verbiedt.
Volgens de ontwikkelaars van systemd doet de kwetsbaarheid zich voor vanaf versie 247 (november 2020), maar volgens de onderzoeker die het probleem ontdekte, is ook versie 246 kwetsbaar. De kwetsbaarheid treedt op wanneer systemd is gebouwd met de libacl-bibliotheek (standaard in alle populaire distributies). Een oplossing is momenteel beschikbaar in de vorm van een patch. Je kunt de oplossingen in de distributies volgen op de volgende pagina's: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Gentoo, Arch. Als tijdelijke beveiligingsmaatregel kan sysctl fs.suid_dumpable op 0 worden ingesteld, wat het verzenden van dumps naar de systemd-coredump-handler uitschakelt.
Bron: opennet.ru
