Het bedrijf Qualys heeft de derde gevaarlijke kwetsbaarheid (CVE-2022-3328) van dit jaar ontdekt in de snap-confine utility, die met de SUID root-vlag wordt geleverd en door het snapd-proces wordt aangeroepen om een uitvoeringsomgeving voor applicaties te cre\u00ebren die worden verspreid in zelfvoorzienende pakketten in snap-formaat. Deze kwetsbaarheid stelt een lokale niet-geprivilegieerde gebruiker in staat om code met root-rechten uit te voeren in de standaard configuratie van Ubuntu. Het probleem is opgelost in versie snapd 2.57.6. Pakketupdates zijn uitgebracht voor alle ondersteunde Ubuntu-takken. <\/p>\n
Interessant is dat de door ons onderzochte kwetsbaarheid is ontstaan tijdens het verhelpen van een soortgelijke kwetsbaarheid in snap-confine in februari. Onderzoekers slaagden erin een werkende exploit voor te bereiden die root-toegang biedt op Ubuntu Server 22.04, waarin naast de kwetsbaarheid in snap-confine ook twee kwetsbaarheden in het multipathd-proces (CVE-2022-41974, CVE-2022-41973) zijn betrokken, die verband houden met het omzeilen van autorisatiecontrole bij het versturen van geprivilegieerde opdrachten en onveilige handelingen met symbolische links. <\/p>\n
De kwetsbaarheid in snap-confine wordt veroorzaakt door een raceconditie in de functie must_mkdir_and_open_with_perms(), die is toegevoegd ter bescherming tegen directory-injectie van \/tmp\/snap.$SNAP_NAME naar een symbolische link, op een moment na de controle van de eigenaar, maar v\u00f3\u00f3r de aanroep van de mount-systeemoproep voor het bind-mounten van mappen voor het snap-pakket. De toegevoegde bescherming hield in dat er een hernoeming van de map \/tmp\/snap.$SNAP_NAME plaatsvond naar een andere map in \/tmp met een willekeurige naam, als deze bestond en niet toebehoorde aan de gebruiker root. <\/p>\n
Tijdens de uitvoering van de hernoemingsoperatie van de directory \/tmp\/snap.$SNAP_NAME maakten de onderzoekers gebruik van het feit dat snap-confine ook de directory \/tmp\/snap.rootfs_XXXXXX voor de rootinhoud van het snap-pakket aanmaakt. Het gedeelte «XXXXXX» van de naam wordt willekeurig gekozen met mkdtemp(), maar het pakket met de naam «rootfs_XXXXXX» kan worden gevalideerd in de functie sc_instance_name_validate (d.w.z. het idee is dat de naam $SNAP_NAME de waarde «rootfs_XXXXXX» aanneemt en dat de hernoemingsoperatie leidt tot het overschrijven van de directory \/tmp\/snap.rootfs_XXXXXX met de root van het snap). <\/p>\n
Om gelijktijdige gebruik van \/tmp\/snap.rootfs_XXXXXX en het hernoemen van \/tmp\/snap.$SNAP_NAME te bereiken, werden er twee instanties van snap-confine gestart. Zodra de eerste instantie \/tmp\/snap.rootfs_XXXXXX aanmaakte, werd het proces geblokkeerd en werd de tweede instantie met de naam van het pakket rootfs_XXXXXX gestart, wat ertoe leidde dat de tijdelijke map \/tmp\/snap.$SNAP_NAME van de tweede instantie de rootmap \/tmp\/snap.rootfs_XXXXXX van de eerste werd. Direct na het uitvoeren van de herbenaming werd de tweede instantie gedwongen be\u00ebindigd en werd \/tmp\/snap.rootfs_XXXXXX vervangen door een raceconditie-exploitatie, zoals gezien in de kwetsbaarheid van februari. Na de vervangingen werd de uitvoeringsblokkade van de eerste instantie opgeheven en kregen de aanvallers volledige controle over de rootmap van snap. <\/p>\n