In het door Red Hat ontwikkelde achtergrondproces tuned, dat automatisch de instellingen van hardware en de kernel optimaliseert op basis van de huidige belasting, is een kwetsbaarheid (CVE-2024-52336) ontdekt, waarmee een lokale niet-geprivilegieerde gebruiker willekeurige commando's kan uitvoeren met root-rechten.
Het probleem is aanwezig in de implementatie van de DBus-methode "com.redhat.tuned.instance_create", die wordt gebruikt voor het creƫren van plugin-instanties, waar parameters "script_pre" en "script_post" kunnen worden doorgegeven voor het opgeven van scripts die voor of na het aanmaken van een plugin-instantie worden uitgevoerd. Het probleem is dat de Polkit-instellingen iedere ingelogde lokale gebruiker zonder authenticatie in staat stellen een DBus-verzoek naar deze methode te sturen, terwijl het tuned-proces zelf met root-rechten wordt uitgevoerd en de scripts die in de parameters "script_pre" en "script_post" zijn gemarkeerd ook met root-rechten worden uitgevoerd. Bijvoorbeeld, om het script /path/to/myscript.sh met root-rechten uit te voeren, hoeft de gebruiker alleen maar het volgende commando uit te voeren: gdbus call -y -d com.redhat.tuned -o /Tuned \ -m com.redhat.tuned.control.instance_create cpu myinstance \ '{"script_pre": "/path/to/myscript.sh", "devices": "*"}'
In de DBus-methode "com.redhat.tuned.instance_create" is er ook een minder gevaarlijke kwetsbaarheid (CVE-2024-52337), veroorzaakt door het ontbreken van schoonmaak van de waarde van de naam van de plugin-instantie bij het loggen. Een aanvaller kan een naam toevoegen die een nieuwe regel en escape-tekens bevat voor de terminalemulator, die kunnen worden gebruikt om de logstructuur te verstoren en acties uit te voeren bij het weergeven van de uitvoer van het commando "tuned-adm get_instances" in de terminal. EVIL=`echo -e "this is\nevil\033[?1047h"` gdbus call -y -d com.redhat.tuned -o /Tuned -m com.redhat.tuned.control.instance_create cpu "$EVIL" '{"devices": "*"}'
De kwetsbaarheden manifesteren zich vanaf versie tuned 2.23, die begin juni 2024 is uitgebracht, en zijn verholpen in de release van tuned 2.24.1. In de belangrijkste distributies zijn de problemen opgelost in RHEL 9, Fedora 40, Arch Linux en Gentoo. In de stabiele takken van Ubuntu, Debian en SUSE/openSUSE manifesteren de kwetsbaarheden zich niet, omdat daarin oudere versies van tuned (<2.23) worden geleverd, die niet kwetsbaar zijn.
Bron: opennet.ru
