ਪੋਲਕਿਟ ਵਿੱਚ ਗੰਭੀਰ ਕਮਜ਼ੋਰੀ ਜ਼ਿਆਦਾਤਰ ਲੀਨਕਸ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ 'ਤੇ ਰੂਟ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ

ਕੁਆਲਿਸ ਨੇ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਵਿੱਚ ਵਰਤੇ ਗਏ ਪੋਲਕਿਟ (ਪਹਿਲਾਂ ਪਾਲਿਸੀਕਿੱਟ) ਸਿਸਟਮ ਕੰਪੋਨੈਂਟ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ (CVE-2021-4034) ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ ਤਾਂ ਜੋ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਉਹ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾ ਸਕੇ ਜਿਨ੍ਹਾਂ ਲਈ ਉੱਚੇ ਪਹੁੰਚ ਅਧਿਕਾਰਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਕਮਜ਼ੋਰੀ ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਸਥਾਨਕ ਉਪਭੋਗਤਾ ਨੂੰ ਆਪਣੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਰੂਟ ਕਰਨ ਅਤੇ ਸਿਸਟਮ ਦਾ ਪੂਰਾ ਨਿਯੰਤਰਣ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਸਮੱਸਿਆ ਦਾ ਕੋਡਨੇਮ PwnKit ਸੀ ਅਤੇ ਇੱਕ ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਪੈਦਾ ਕਰਨ ਲਈ ਪ੍ਰਸਿੱਧ ਹੈ ਜੋ ਜ਼ਿਆਦਾਤਰ ਲੀਨਕਸ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ 'ਤੇ ਡਿਫੌਲਟ ਸੰਰਚਨਾ ਵਿੱਚ ਚੱਲਦਾ ਹੈ।

ਸਮੱਸਿਆ PolKit ਦੀ pkexec ਉਪਯੋਗਤਾ ਵਿੱਚ ਮੌਜੂਦ ਹੈ, ਜੋ ਕਿ SUID ਰੂਟ ਫਲੈਗ ਦੇ ਨਾਲ ਆਉਂਦੀ ਹੈ ਅਤੇ ਖਾਸ PolKit ਨਿਯਮਾਂ ਦੇ ਅਨੁਸਾਰ ਕਿਸੇ ਹੋਰ ਉਪਭੋਗਤਾ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤੀ ਗਈ ਹੈ। pkexec ਨੂੰ ਪਾਸ ਕੀਤੇ ਕਮਾਂਡ ਲਾਈਨ ਆਰਗੂਮੈਂਟਾਂ ਦੇ ਗਲਤ ਪ੍ਰਬੰਧਨ ਦੇ ਕਾਰਨ, ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਆਪਣੇ ਕੋਡ ਨੂੰ ਰੂਟ ਦੇ ਤੌਰ ਤੇ ਚਲਾ ਸਕਦਾ ਹੈ, ਪਹੁੰਚ ਨਿਯਮਾਂ ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ। ਹਮਲੇ ਲਈ, ਇਸ ਨਾਲ ਕੋਈ ਫਰਕ ਨਹੀਂ ਪੈਂਦਾ ਕਿ PolKit ਵਿੱਚ ਕਿਹੜੀਆਂ ਸੈਟਿੰਗਾਂ ਅਤੇ ਪਾਬੰਦੀਆਂ ਨਿਰਧਾਰਤ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ, ਇਹ ਕਾਫ਼ੀ ਹੈ ਕਿ SUID ਰੂਟ ਵਿਸ਼ੇਸ਼ਤਾ pkexec ਉਪਯੋਗਤਾ ਨਾਲ ਚੱਲਣਯੋਗ ਫਾਈਲ ਲਈ ਸੈੱਟ ਕੀਤੀ ਗਈ ਹੈ।

Pkexec ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰਨ ਵੇਲੇ ਪਾਸ ਕੀਤੀ ਕਮਾਂਡ ਲਾਈਨ ਆਰਗੂਮੈਂਟ ਗਿਣਤੀ (argc) ਦੀ ਵੈਧਤਾ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕਰਦਾ ਹੈ। pkexec ਦੇ ਡਿਵੈਲਪਰਾਂ ਨੇ ਮੰਨਿਆ ਕਿ argv ਐਰੇ ਵਿੱਚ ਪਹਿਲੀ ਐਂਟਰੀ ਵਿੱਚ ਹਮੇਸ਼ਾਂ ਪ੍ਰਕਿਰਿਆ ਦਾ ਨਾਮ ਹੁੰਦਾ ਹੈ (pkexec), ਅਤੇ ਦੂਜੀ ਜਾਂ ਤਾਂ ਇੱਕ NULL ਮੁੱਲ ਜਾਂ pkexec ਦੁਆਰਾ ਲਾਂਚ ਕੀਤੀ ਕਮਾਂਡ ਦਾ ਨਾਮ। ਕਿਉਂਕਿ ਆਰਗੂਮੈਂਟ ਦੀ ਗਿਣਤੀ ਐਰੇ ਦੀ ਅਸਲ ਸਮੱਗਰੀ ਦੇ ਵਿਰੁੱਧ ਨਹੀਂ ਜਾਂਚੀ ਗਈ ਸੀ ਅਤੇ ਇਸਨੂੰ ਹਮੇਸ਼ਾ 1 ਤੋਂ ਵੱਧ ਮੰਨਿਆ ਗਿਆ ਸੀ, ਜੇਕਰ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਇੱਕ ਖਾਲੀ argv ਐਰੇ ਪਾਸ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ Linux execve ਫੰਕਸ਼ਨ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, pkexec NULL ਨੂੰ ਪਹਿਲੀ ਆਰਗੂਮੈਂਟ ਵਜੋਂ ਮੰਨੇਗਾ ( ਪ੍ਰਕਿਰਿਆ ਦਾ ਨਾਮ) ਅਤੇ ਅਗਲਾ ਬਫਰ ਮੈਮੋਰੀ ਦੇ ਬਾਹਰ ਹੈ, ਜਿਵੇਂ ਕਿ ਐਰੇ ਦੀ ਅਗਲੀ ਸਮੱਗਰੀ। |———+———+——+————|———+———+——+———— | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| VVVVVV "ਪ੍ਰੋਗਰਾਮ" "-ਵਿਕਲਪ" NULL "ਮੁੱਲ" "PATH = ਨਾਮ" NULL

ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ argv ਐਰੇ ਤੋਂ ਬਾਅਦ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਰੱਖਣ ਵਾਲੀ ਮੈਮੋਰੀ ਵਿੱਚ ਇੱਕ envp ਐਰੇ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ, ਜੇਕਰ argv ਐਰੇ ਖਾਲੀ ਹੈ, ਤਾਂ pkexec ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ (argv[1] envp[0] ਦੇ ਸਮਾਨ ਬਣ ਗਿਆ ਹੈ), ਜਿਸ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਦੇ ਨਾਲ ਐਰੇ ਦੇ ਪਹਿਲੇ ਐਲੀਮੈਂਟ ਤੋਂ ਐਲੀਵੇਟਿਡ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਚੱਲਣ ਵਾਲੀ ਕਮਾਂਡ ਬਾਰੇ ਡਾਟਾ ਕੱਢਦਾ ਹੈ। ਹਮਲਾਵਰ ਦੁਆਰਾ.

argv[1] ਦਾ ਮੁੱਲ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, pkexec, PATH ਵਿੱਚ ਫਾਈਲ ਮਾਰਗਾਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ, ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦਾ ਪੂਰਾ ਮਾਰਗ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ argv[1] ਦੇ ਪੂਰੇ ਮਾਰਗ ਦੇ ਨਾਲ ਸਤਰ ਨੂੰ ਇੱਕ ਪੁਆਇੰਟਰ ਲਿਖਦਾ ਹੈ, ਜੋ ਪਹਿਲੇ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਦੇ ਮੁੱਲ ਨੂੰ ਓਵਰਰਾਈਟ ਕਰਨ ਲਈ ਅਗਵਾਈ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ argv[ 1] envp[0] ਦੇ ਸਮਾਨ ਹੈ। ਪਹਿਲੇ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਦੇ ਨਾਮ ਨਾਲ ਹੇਰਾਫੇਰੀ ਕਰਕੇ, ਇੱਕ ਹਮਲਾਵਰ pkexec ਵਿੱਚ ਇੱਕ ਹੋਰ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ, ਉਦਾਹਰਨ ਲਈ, “LD_PRELOAD” ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ, ਜਿਸਦੀ ਸੁਇਡ ਪ੍ਰੋਗਰਾਮਾਂ ਵਿੱਚ ਇਜਾਜ਼ਤ ਨਹੀਂ ਹੈ, ਅਤੇ ਉਹਨਾਂ ਦੀ ਸਾਂਝੀ ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਲੋਡ ਕੀਤੇ ਜਾਣ ਦਾ ਪ੍ਰਬੰਧ ਕਰੋ। ਪ੍ਰਕਿਰਿਆ

ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਵਿੱਚ GCONV_PATH ਵੇਰੀਏਬਲ ਨੂੰ ਬਦਲਣਾ ਸ਼ਾਮਲ ਹੈ, ਜੋ ਕਿ ਪ੍ਰਤੀਕ ਟ੍ਰਾਂਸਕੋਡਿੰਗ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਮਾਰਗ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, g_printerr() ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਨ ਵੇਲੇ ਗਤੀਸ਼ੀਲ ਤੌਰ 'ਤੇ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸਦਾ ਕੋਡ iconv_open() ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। GCONV_PATH ਵਿੱਚ ਮਾਰਗ ਨੂੰ ਮੁੜ ਪਰਿਭਾਸ਼ਿਤ ਕਰਕੇ, ਇੱਕ ਹਮਲਾਵਰ ਇਹ ਯਕੀਨੀ ਬਣਾ ਸਕਦਾ ਹੈ ਕਿ ਇਹ ਸਟੈਂਡਰਡ ਆਈਕਨਵ ਲਾਇਬ੍ਰੇਰੀ ਨਹੀਂ ਹੈ ਜੋ ਲੋਡ ਕੀਤੀ ਗਈ ਹੈ, ਪਰ ਇਸਦੀ ਆਪਣੀ ਲਾਇਬ੍ਰੇਰੀ ਹੈ, ਜਿਸ ਤੋਂ ਹੈਂਡਲਰ ਚਲਾਏ ਜਾਣਗੇ ਜਦੋਂ ਪੜਾਅ 'ਤੇ ਇੱਕ ਗਲਤੀ ਸੁਨੇਹਾ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤਾ ਜਾਵੇਗਾ ਜਦੋਂ pkexec ਅਜੇ ਵੀ ਚੱਲ ਰਿਹਾ ਹੈ। ਰੂਟ ਅਧਿਕਾਰ ਅਤੇ ਲਾਂਚ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ.

ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿ ਇਸ ਤੱਥ ਦੇ ਬਾਵਜੂਦ ਕਿ ਸਮੱਸਿਆ ਮੈਮੋਰੀ ਖਰਾਬ ਹੋਣ ਕਾਰਨ ਹੁੰਦੀ ਹੈ, ਇਸਦੀ ਵਰਤੋਂ ਹਾਰਡਵੇਅਰ ਆਰਕੀਟੈਕਚਰ ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ ਭਰੋਸੇਯੋਗ ਅਤੇ ਵਾਰ-ਵਾਰ ਸ਼ੋਸ਼ਣ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਤਿਆਰ ਕੀਤੇ ਸ਼ੋਸ਼ਣ ਨੂੰ ਉਬੰਟੂ, ਡੇਬੀਅਨ, ਫੇਡੋਰਾ ਅਤੇ CentOS 'ਤੇ ਸਫਲਤਾਪੂਰਵਕ ਟੈਸਟ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ ਇਸ ਨੂੰ ਹੋਰ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ 'ਤੇ ਵੀ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਅਸਲੀ ਸ਼ੋਸ਼ਣ ਅਜੇ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਨਹੀਂ ਹੈ, ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਇਹ ਮਾਮੂਲੀ ਹੈ ਅਤੇ ਦੂਜੇ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਆਸਾਨੀ ਨਾਲ ਦੁਬਾਰਾ ਬਣਾਇਆ ਜਾ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਮਲਟੀ-ਯੂਜ਼ਰ ਸਿਸਟਮਾਂ 'ਤੇ ਜਿੰਨੀ ਜਲਦੀ ਹੋ ਸਕੇ ਪੈਚ ਅਪਡੇਟ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਪੋਲਕਿਟ BSD ਪ੍ਰਣਾਲੀਆਂ ਅਤੇ ਸੋਲਾਰਿਸ ਲਈ ਵੀ ਉਪਲਬਧ ਹੈ, ਪਰ ਉਹਨਾਂ 'ਤੇ ਵਰਤੋਂ ਲਈ ਅਧਿਐਨ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਕੀ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਓਪਨਬੀਐਸਡੀ ਉੱਤੇ ਹਮਲਾ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਕਿਉਂਕਿ ਓਪਨਬੀਐਸਡੀ ਕਰਨਲ ਇੱਕ null argc ਮੁੱਲ ਨੂੰ ਪਾਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦਾ ਹੈ ਜਦੋਂ execve() ਨੂੰ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ।

ਸਮੱਸਿਆ ਮਈ 2009 ਤੋਂ, pkexec ਕਮਾਂਡ ਦੇ ਜੋੜਨ ਤੋਂ ਬਾਅਦ ਮੌਜੂਦ ਹੈ। PolKit ਕਮਜ਼ੋਰੀ ਲਈ ਫਿਕਸ ਵਰਤਮਾਨ ਵਿੱਚ ਇੱਕ ਪੈਚ ਦੇ ਰੂਪ ਵਿੱਚ ਉਪਲਬਧ ਹੈ (ਕੋਈ ਪੈਚ ਰੀਲੀਜ਼ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ), ਪਰ ਕਿਉਂਕਿ ਡਿਸਟਰੀਬਿਊਸ਼ਨ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਸਮੱਸਿਆ ਬਾਰੇ ਪਹਿਲਾਂ ਹੀ ਸੂਚਿਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਜ਼ਿਆਦਾਤਰ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਨੇ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਖੁਲਾਸੇ ਦੇ ਨਾਲ ਅਪਡੇਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ। RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux ਅਤੇ Manjaro ਵਿੱਚ ਮੁੱਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਕਮਜ਼ੋਰੀ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਅਸਥਾਈ ਉਪਾਅ ਵਜੋਂ, ਤੁਸੀਂ /usr/bin/pkexec ਪ੍ਰੋਗਰਾਮ (“chmod 0755 /usr/bin/pkexec”) ਤੋਂ SUID ਰੂਟ ਫਲੈਗ ਨੂੰ ਹਟਾ ਸਕਦੇ ਹੋ।

ਸਰੋਤ: opennet.ru