Sårbarhet i chrony

I chrony, implementeringen av NTP-protokollen som brukes for å synkronisere nøyaktig tid på ulike Linux-distribusjoner, oppdaget sårbarhet (CVE-2020-14367), som tillater overskrivning av hvilken som helst fil på systemet med tilgang fra den lokale, ikke-privilegerte brukeren chrony. Sårbarheten kan kun utnyttes via brukeren chrony, noe som reduserer dens farlighet. Likevel kompromitterer problemet isolasjonsnivået i chrony og kan brukes dersom en annen sårbarhet i koden oppdages, som kjøres etter at privilegiene er tilbakestilt.

Sårbarheten er forårsaket av usikret oppretting av pid-filen, som ble opprettet på et tidspunkt da chrony ennå ikke hadde tilbakestilt privilegiene og kjørte med root-rettigheter. I tillegg ble katalogen /run/chrony, der pid-filen skrives, opprettet med rettigheter 0750 via systemd-tmpfiles eller ved oppstart av chronyd knyttet til brukeren og gruppen «chrony». Dermed, med tilgang til brukeren chrony, er det mulig å erstatte pid-filen /run/chrony/chronyd.pid med en symbolsk lenke. Den symbolske lenken kan peke til hvilken som helst systemfil som vil bli overskrevet ved oppstart av chronyd.

root# systemctl stop chronyd.service
root# sudo -u chrony /bin/bash

chrony$ cd /run/chrony
chrony$ ln -s /etc/shadow chronyd.pid
chrony$ exit

root# /usr/sbin/chronyd -n
^C
# вместо содержимого /etc/shadow будет сохранён идентификатор процесса chronyd
root# cat /etc/shadow
15287

The vulnerability og løst i utgaven chrony 3.5.1. Pakkeoppdateringer som løser sårbarheten er tilgjengelige for Fedora. Under forberedelse av oppdateringen for RHEL, Debian og Ubuntu.

SUSE og openSUSE saken er ikke utsatt for, siden den symbolske lenken for chrony opprettes direkte i katalogen /run, uten bruk av ekstra underkataloger.

Kilde: opennet.ru