ਸਨੈਪ ਪੈਕੇਜ ਪ੍ਰਬੰਧਨ ਟੂਲਕਿੱਟ ਵਿੱਚ ਰੂਟ ਕਮਜ਼ੋਰੀ

ਕੁਆਲਿਸ ਨੇ ਸਨੈਪ-ਸੀਮਤ ਸਹੂਲਤ ਵਿੱਚ ਇਸ ਸਾਲ ਇੱਕ ਤੀਜੀ ਗੰਭੀਰ ਕਮਜ਼ੋਰੀ (CVE-2022-3328) ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ, ਜੋ ਕਿ SUID ਰੂਟ ਫਲੈਗ ਦੇ ਨਾਲ ਆਉਂਦੀ ਹੈ ਅਤੇ ਸਵੈ-ਨਿਰਭਰ ਪੈਕੇਜਾਂ ਵਿੱਚ ਵੰਡੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਵਾਤਾਵਰਣ ਬਣਾਉਣ ਲਈ snapd ਪ੍ਰਕਿਰਿਆ ਦੁਆਰਾ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਸਨੈਪ ਫਾਰਮੈਟ ਵਿੱਚ. ਕਮਜ਼ੋਰੀ ਇੱਕ ਸਥਾਨਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਨੂੰ ਡਿਫੌਲਟ ਉਬੰਟੂ ਸੰਰਚਨਾ ਵਿੱਚ ਰੂਟ ਵਜੋਂ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। snapd 2.57.6 ਦੀ ਰਿਲੀਜ਼ ਵਿੱਚ ਇਸ ਮੁੱਦੇ ਨੂੰ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਉਬੰਟੂ ਦੀਆਂ ਸਾਰੀਆਂ ਸਮਰਥਿਤ ਸ਼ਾਖਾਵਾਂ ਲਈ ਪੈਕੇਜ ਅੱਪਡੇਟ ਜਾਰੀ ਕੀਤੇ ਗਏ ਹਨ।

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ, ਸਵਾਲ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਨੂੰ ਸਨੈਪ-ਸੀਮਤ ਵਿੱਚ ਫਰਵਰੀ ਦੀ ਇੱਕ ਸਮਾਨ ਕਮਜ਼ੋਰੀ ਨੂੰ ਠੀਕ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ। ਖੋਜਕਰਤਾ ਇੱਕ ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਤਿਆਰ ਕਰਨ ਦੇ ਯੋਗ ਸਨ ਜੋ ਉਬੰਟੂ ਸਰਵਰ 22.04 ਵਿੱਚ ਰੂਟ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਸਨੈਪ-ਸੀਮਤ ਕਮਜ਼ੋਰੀ ਤੋਂ ਇਲਾਵਾ, ਮਲਟੀਪਾਥਡ ਪ੍ਰਕਿਰਿਆ (CVE-2022-41974, CVE-2022-41973) ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਵੀ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ। ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਮਾਂਡਾਂ ਨੂੰ ਪਾਸ ਕਰਦੇ ਸਮੇਂ ਅਨੁਮਤੀਆਂ ਦੀ ਜਾਂਚ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਅਤੇ ਪ੍ਰਤੀਕ ਲਿੰਕਾਂ ਦੇ ਅਸੁਰੱਖਿਅਤ ਪ੍ਰਬੰਧਨ ਨਾਲ ਸਬੰਧਤ।

snap-confine ਵਿੱਚ ਕਮਜ਼ੋਰੀ must_mkdir_and_open_with_perms() ਫੰਕਸ਼ਨ ਵਿੱਚ ਇੱਕ ਰੇਸ ਸਥਿਤੀ ਦੇ ਕਾਰਨ ਹੁੰਦੀ ਹੈ, ਜੋ ਕਿ /tmp/snap.$SNAP_NAME ਡਾਇਰੈਕਟਰੀ ਨੂੰ ਮਾਲਕ ਦੀ ਜਾਂਚ ਤੋਂ ਬਾਅਦ ਇੱਕ ਪ੍ਰਤੀਕ ਲਿੰਕ ਨਾਲ, ਪਰ ਮਾਊਂਟ ਸਿਸਟਮ ਕਾਲ ਤੋਂ ਪਹਿਲਾਂ ਦੇ ਬਦਲ ਤੋਂ ਬਚਾਉਣ ਲਈ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ। ਨੂੰ ਸਨੈਪ ਫਾਰਮੈਟ ਵਿੱਚ ਪੈਕੇਜ ਲਈ ਇਸ ਵਿੱਚ ਡਾਇਰੈਕਟਰੀਆਂ ਨੂੰ ਬੰਨ੍ਹਣ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਸੁਰੱਖਿਆ ਜੋੜੀ ਗਈ ਸੀ ਕਿ /tmp/snap.$SNAP_NAME ਡਾਇਰੈਕਟਰੀ ਦਾ ਨਾਂ ਬਦਲ ਕੇ /tmp ਵਿੱਚ ਇੱਕ ਹੋਰ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਇੱਕ ਬੇਤਰਤੀਬ ਨਾਮ ਨਾਲ ਜੇ ਇਹ ਮੌਜੂਦ ਹੈ ਅਤੇ ਰੂਟ ਉਪਭੋਗਤਾ ਦੀ ਮਲਕੀਅਤ ਨਹੀਂ ਹੈ।

ਜਦੋਂ /tmp/snap.$SNAP_NAME ਡਾਇਰੈਕਟਰੀ ਰੀਨੇਮ ਓਪਰੇਸ਼ਨ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੇ ਹੋਏ, ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇਸ ਤੱਥ ਦਾ ਫਾਇਦਾ ਉਠਾਇਆ ਕਿ snap-confine ਸਨੈਪ ਪੈਕੇਜ ਦੀ ਸਮੱਗਰੀ ਦੇ ਰੂਟ ਲਈ ਇੱਕ /tmp/snap.rootfs_XXXXXX ਡਾਇਰੈਕਟਰੀ ਵੀ ਬਣਾਉਂਦਾ ਹੈ। ਨਾਮ ਦੇ "XXXXXX" ਭਾਗ ਨੂੰ mkdtemp() ਦੁਆਰਾ ਬੇਤਰਤੀਬੇ ਤੌਰ 'ਤੇ ਚੁਣਿਆ ਗਿਆ ਹੈ, ਪਰ "rootfs_XXXXXX" ਨਾਮ ਦਾ ਇੱਕ ਪੈਕੇਜ sc_instance_name_validate ਪਾਸ ਕਰ ਸਕਦਾ ਹੈ (ਜਿਵੇਂ ਕਿ ਵਿਚਾਰ $SNAP_NAME ਨੂੰ "rootfs_XXXXXX" 'ਤੇ ਸੈੱਟ ਕਰਨਾ ਹੈ ਅਤੇ ਫਿਰ ਨਾਮ ਬਦਲਣ ਦੀ ਕਾਰਵਾਈ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਓਵਰਰਾਈਟਿੰਗ ਹੋ ਜਾਵੇਗੀ। ਸਨੈਪ ਰੂਟ ਨਾਲ /tmp/snap.rootfs_XXXXXX ਡਾਇਰੈਕਟਰੀ)।

/tmp/snap.rootfs_XXXXXX ਦੀ ਇੱਕੋ ਸਮੇਂ ਵਰਤੋਂ ਅਤੇ /tmp/snap.$SNAP_NAME ਦਾ ਨਾਮ ਬਦਲਣ ਲਈ, ਸਨੈਪ-ਸੀਮਤ ਦੀਆਂ ਦੋ ਉਦਾਹਰਣਾਂ ਸ਼ੁਰੂ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ। ਜਿਵੇਂ ਹੀ ਪਹਿਲੀ ਉਦਾਹਰਣ /tmp/snap.rootfs_XXXXXX ਬਣਾਈ ਗਈ, ਪ੍ਰਕਿਰਿਆ ਬਲੌਕ ਹੋ ਜਾਵੇਗੀ ਅਤੇ ਪੈਕੇਜ ਨਾਮ rootfs_XXXXXX ਨਾਲ ਇੱਕ ਦੂਜੀ ਉਦਾਹਰਨ ਸ਼ੁਰੂ ਹੋ ਜਾਵੇਗੀ, ਜਿਸ ਨਾਲ ਦੂਜੀ ਵਾਰ ਦੀ ਅਸਥਾਈ ਡਾਇਰੈਕਟਰੀ /tmp/snap.$SNAP_NAME /tmp/snap ਬਣ ਜਾਵੇਗੀ। ਪਹਿਲੀ ਵਾਰ ਦੀ .rootfs_XXXXXX ਰੂਟ ਡਾਇਰੈਕਟਰੀ। ਨਾਮ ਬਦਲਣ ਤੋਂ ਤੁਰੰਤ ਬਾਅਦ, ਦੂਜੀ ਘਟਨਾ ਕਰੈਸ਼ ਹੋ ਗਈ, ਅਤੇ /tmp/snap.rootfs_XXXXXX ਨੂੰ ਰੇਸ ਕੰਡੀਸ਼ਨ ਹੇਰਾਫੇਰੀ ਨਾਲ ਬਦਲ ਦਿੱਤਾ ਗਿਆ, ਜਿਵੇਂ ਕਿ ਫਰਵਰੀ ਦੀ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ ਸੀ। ਤਬਦੀਲੀ ਤੋਂ ਬਾਅਦ, ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲੌਕ ਨੂੰ ਪਹਿਲੀ ਸਥਿਤੀ ਤੋਂ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ ਅਤੇ ਹਮਲਾਵਰਾਂ ਨੇ ਸਨੈਪ ਰੂਟ ਡਾਇਰੈਕਟਰੀ 'ਤੇ ਪੂਰਾ ਕੰਟਰੋਲ ਹਾਸਲ ਕਰ ਲਿਆ ਸੀ।

ਆਖਰੀ ਪੜਾਅ ਇੱਕ symlink /tmp/snap.rootfs_XXXXXX/tmp ਬਣਾਉਣਾ ਸੀ ਜੋ sc_bootstrap_mount_namespace() ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਫਾਇਲ ਸਿਸਟਮ ਵਿੱਚ ਕਿਸੇ ਵੀ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਲਿਖਣਯੋਗ ਰੀਅਲ ਡਾਇਰੈਕਟਰੀ /tmp ਨੂੰ ਬੰਨ੍ਹਣ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ, ਕਿਉਂਕਿ mount() ਕਾਲ ਅੱਗੇ ਆਉਂਦੀ ਹੈ। ਮਾਊਂਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸਿਮਲਿੰਕਸ। ਅਜਿਹੀ ਮਾਊਂਟਿੰਗ ਨੂੰ ਐਪਆਰਮਰ ਪਾਬੰਦੀਆਂ ਦੁਆਰਾ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ ਇਸ ਬਲੌਕਿੰਗ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ, ਸ਼ੋਸ਼ਣ ਨੇ ਮਲਟੀਪਾਥਡ ਵਿੱਚ ਦੋ ਸਹਾਇਕ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ।

ਸਰੋਤ: opennet.ru