ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਜੋ ਰੂਟ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ

ਮਾਈਕ੍ਰੋਸਾਫਟ ਦੇ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ ਸੇਵਾ, ਕੋਡਨੇਮ ਨਿੰਬਸਪਵਨ ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ (CVE-2022-29799, CVE-2022-29800) ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ, ਜੋ ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਨੂੰ ਰੂਟ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਮਨਮਾਨੇ ਹੁਕਮਾਂ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ। ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ 2.2 ਦੇ ਰੀਲੀਜ਼ ਵਿੱਚ ਮੁੱਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਅਜੇ ਤੱਕ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ (Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux) ਦੁਆਰਾ ਅੱਪਡੇਟ ਦੇ ਪ੍ਰਕਾਸ਼ਨ ਬਾਰੇ ਕੋਈ ਜਾਣਕਾਰੀ ਨਹੀਂ ਹੈ।

Networkd-dispatcher ਨੂੰ Ubuntu ਸਮੇਤ ਕਈ ਲੀਨਕਸ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਨੈੱਟਵਰਕ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ ਬੈਕਗਰਾਊਂਡ ਪ੍ਰਕਿਰਿਆ systemd-networkd ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਅਤੇ NetworkManager-dispatcher ਦੇ ਸਮਾਨ ਫੰਕਸ਼ਨ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ। ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਲਾਂਚ ਕਰਨ ਵਿੱਚ ਰੁੱਝਿਆ ਹੋਇਆ ਹੈ ਜਦੋਂ ਇੱਕ ਨੈਟਵਰਕ ਕਨੈਕਸ਼ਨ ਦੀ ਸਥਿਤੀ ਬਦਲ ਜਾਂਦੀ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਇਹ ਮੁੱਖ ਨੈਟਵਰਕ ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਇੱਕ VPN ਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ ਨਾਲ ਜੁੜੀ ਬੈਕਗਰਾਊਂਡ ਪ੍ਰਕਿਰਿਆ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਚੱਲਦੀ ਹੈ ਅਤੇ ਡੀ-ਬੱਸ ਰਾਹੀਂ ਇਵੈਂਟ ਸਿਗਨਲ ਪ੍ਰਾਪਤ ਕਰਦੀ ਹੈ। ਨੈੱਟਵਰਕ ਕਨੈਕਸ਼ਨਾਂ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਨਾਲ ਸਬੰਧਤ ਘਟਨਾਵਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ systemd-networkd ਸੇਵਾ ਦੁਆਰਾ ਭੇਜੀ ਜਾਂਦੀ ਹੈ। ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਇੱਕ ਗੈਰ-ਮੌਜੂਦ ਸਟੇਟ ਇਵੈਂਟ ਤਿਆਰ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਆਪਣੀ ਸਕ੍ਰਿਪਟ ਨੂੰ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਚਲਾਉਣ ਲਈ ਟਰਿੱਗਰ ਕਰ ਸਕਦੇ ਹਨ।

Systemd-networkd ਸਿਰਫ /etc/networkd-dispatcher ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਥਿਤ ਸਿਸਟਮ ਹੈਂਡਲਰ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਉਪਭੋਗਤਾ ਬਦਲਣ ਲਈ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਹੈ, ਪਰ ਫਾਈਲ ਪਾਥ ਪ੍ਰੋਸੈਸਿੰਗ ਕੋਡ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ (CVE-2022-29799) ਦੇ ਕਾਰਨ, ਇੱਕ ਸੀ ਇੱਕ ਹੱਦ ਤੋਂ ਬਾਹਰ ਦੀ ਬੇਸ ਡਾਇਰੈਕਟਰੀ ਅਤੇ ਆਰਬਿਟਰਰੀ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਲਾਂਚ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ। ਖਾਸ ਤੌਰ 'ਤੇ, ਸਕ੍ਰਿਪਟ ਲਈ ਫਾਈਲ ਮਾਰਗ ਬਣਾਉਣ ਵੇਲੇ, D-Bus ਦੁਆਰਾ ਪ੍ਰਸਾਰਿਤ ਕੀਤੇ ਗਏ OperationalState ਅਤੇ AdministrativeState ਮੁੱਲਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਅੱਖਰ ਸਾਫ਼ ਨਹੀਂ ਕੀਤੇ ਗਏ ਸਨ। ਹਮਲਾਵਰ ਆਪਣੀ ਖੁਦ ਦੀ ਸਥਿਤੀ ਬਣਾ ਸਕਦਾ ਹੈ, ਜਿਸ ਦੇ ਨਾਮ ਵਿੱਚ "../" ਅੱਖਰ ਹੁੰਦੇ ਹਨ ਅਤੇ ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ ਕਾਲ ਨੂੰ ਕਿਸੇ ਹੋਰ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਰੀਡਾਇਰੈਕਟ ਕਰ ਸਕਦੇ ਹਨ।

ਦੂਜੀ ਕਮਜ਼ੋਰੀ (CVE-2022-29800) ਇੱਕ ਦੌੜ ਦੀ ਸਥਿਤੀ ਨਾਲ ਸਬੰਧਤ ਹੈ - ਸਕ੍ਰਿਪਟ ਪੈਰਾਮੀਟਰਾਂ (ਰੂਟ ਨਾਲ ਸਬੰਧਤ) ਦੀ ਜਾਂਚ ਕਰਨ ਅਤੇ ਇਸਨੂੰ ਚਲਾਉਣ ਦੇ ਵਿਚਕਾਰ, ਇੱਕ ਛੋਟਾ ਸਮਾਂ ਸੀ, ਫਾਈਲ ਨੂੰ ਬਦਲਣ ਅਤੇ ਜਾਂਚ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਸੀ ਕਿ ਕੀ ਸਕ੍ਰਿਪਟ ਰੂਟ ਉਪਭੋਗਤਾ ਨਾਲ ਸਬੰਧਤ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ ਨੇ ਪ੍ਰਤੀਕ ਲਿੰਕਾਂ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ, ਜਿਸ ਵਿੱਚ ਸਬਪ੍ਰੋਸੈਸ. ਪੋਪੇਨ ਕਾਲ ਦੁਆਰਾ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਚਲਾਉਣ ਵੇਲੇ ਵੀ ਸ਼ਾਮਲ ਹੈ, ਜਿਸ ਨੇ ਹਮਲੇ ਦੇ ਸੰਗਠਨ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਸਰਲ ਬਣਾਇਆ ਹੈ।

ਓਪਰੇਟਿੰਗ ਤਕਨੀਕ:

• ਇੱਕ ਡਾਇਰੈਕਟਰੀ “/tmp/nimbuspwn” ਅਤੇ ਇੱਕ ਚਿੰਨ੍ਹਾਤਮਕ ਲਿੰਕ “/tmp/nimbuspwn/poc.d” ਡਾਇਰੈਕਟਰੀ “/sbin” ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹੋਏ ਬਣਾਇਆ ਗਿਆ ਹੈ, ਜੋ ਰੂਟ ਦੀ ਮਲਕੀਅਤ ਵਾਲੀਆਂ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ।
• “/sbin” ਤੋਂ ਚੱਲਣਯੋਗ ਫਾਈਲਾਂ ਲਈ, ਉਸੇ ਨਾਮ ਦੀਆਂ ਫਾਈਲਾਂ “/tmp/nimbuspwn” ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਬਣਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਉਦਾਹਰਨ ਲਈ, “/sbin/vgs” ਫਾਈਲ ਲਈ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ “/tmp/nimbuspwn/vgs” ਹੈ। ਬਣਾਇਆ ਗਿਆ, ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਦੀ ਮਲਕੀਅਤ ਹੈ, ਜਿਸ ਵਿੱਚ ਉਹ ਕੋਡ ਰੱਖਿਆ ਗਿਆ ਹੈ ਜਿਸਨੂੰ ਹਮਲਾਵਰ ਚਲਾਉਣਾ ਚਾਹੁੰਦਾ ਹੈ।
• OperationalState ਵਿੱਚ "../../../tmp/nimbuspwn/poc" ਮੁੱਲ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹੋਏ ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ ਪ੍ਰਕਿਰਿਆ ਨੂੰ D-Bus ਰਾਹੀਂ ਇੱਕ ਸਿਗਨਲ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਨੇਮਸਪੇਸ “org.freedesktop.network1” ਵਿੱਚ ਇੱਕ ਸਿਗਨਲ ਭੇਜਣ ਲਈ, ਇਸਦੇ ਹੈਂਡਲਰ ਨੂੰ systemd-networkd ਨਾਲ ਜੋੜਨ ਦੀ ਯੋਗਤਾ ਵਰਤੀ ਗਈ ਸੀ, ਉਦਾਹਰਨ ਲਈ, gpgv ਜਾਂ epmd ਨਾਲ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ, ਜਾਂ ਤੁਸੀਂ ਇਸ ਤੱਥ ਦਾ ਲਾਭ ਲੈ ਸਕਦੇ ਹੋ ਕਿ systemd-networkd. ਮੂਲ ਰੂਪ ਵਿੱਚ ਨਹੀਂ ਚੱਲ ਰਿਹਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਲੀਨਕਸ ਮਿੰਟ ਉੱਤੇ)।
• ਸਿਗਨਲ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਨੈੱਟਵਰਕਡ-ਡਿਸਪੈਚਰ ਰੂਟ ਉਪਭੋਗਤਾ ਦੀ ਮਲਕੀਅਤ ਵਾਲੀਆਂ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਉਪਲਬਧ ਹੈ “/etc/networkd-dispatcher/../../../tmp/nimbuspwn/poc.d”, ਜੋ ਅਸਲ ਵਿੱਚ "/sbin" ਨਾਲ ਲਿੰਕ ਕਰਦਾ ਹੈ।
• ਇਸ ਸਮੇਂ ਜਦੋਂ ਫਾਈਲਾਂ ਦੀ ਸੂਚੀ ਪ੍ਰਾਪਤ ਹੋਈ ਹੈ, ਪਰ ਸਕ੍ਰਿਪਟ ਅਜੇ ਲਾਂਚ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ, ਪ੍ਰਤੀਕ ਲਿੰਕ ਨੂੰ “/tmp/nimbuspwn/poc.d” ਤੋਂ “/tmp/nimbuspwn” ਵੱਲ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਨੈੱਟਵਰਕਡੀ-ਡਿਸਪੈਚਰ ਲਾਂਚ ਕਰੇਗਾ। ਰੂਟ ਅਧਿਕਾਰਾਂ ਨਾਲ ਹਮਲਾਵਰ ਦੁਆਰਾ ਹੋਸਟ ਕੀਤੀ ਸਕ੍ਰਿਪਟ।

ਸਰੋਤ: opennet.ru