{"id":103374,"date":"2022-02-18T03:37:22","date_gmt":"2022-02-18T01:37:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap"},"modified":"2022-02-18T03:37:22","modified_gmt":"2022-02-18T01:37:22","slug":"lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/lokalnye-root-uyazvimosti-v-instrumentarii-upravleniya-paketami-snap","title":{"rendered":"Lokalne luki w zabezpieczeniach root w narz\u0119dziu do zarz\u0105dzania pakietami Snap","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Firma Qualys wykry\u0142a dwie podatno\u015bci (CVE-2021-44731, CVE-2021-44730) w narz\u0119dziu snap-confine, dostarczanym z flag\u0105 SUID root, kt\u00f3re jest wywo\u0142ywane przez proces snapd w celu stworzenia \u015brodowiska wykonawczego dla aplikacji dostarczanych w samodzielnych pakietach w formacie snap. Podatno\u015bci te pozwalaj\u0105 lokalnemu u\u017cytkownikowi bez uprawnie\u0144 na wykonanie kodu z prawami root w systemie. Problemy zosta\u0142y usuni\u0119te w dzisiejszej aktualizacji pakiet\u00f3w snapd dla Ubuntu 21.10, 20.04 i 18.04. <\/p>\n
Pierwsza podatno\u015b\u0107 (CVE-2021-44730) pozwala na przeprowadzenie ataku poprzez manipulacj\u0119 twardymi linkami, jednak wymaga wy\u0142\u0105czenia systemowej ochrony twardych link\u00f3w (ustawienia sysctl fs.protected_hardlinks na 0). Problem spowodowany jest nieprawid\u0142ow\u0105 weryfikacj\u0105 lokalizacji plik\u00f3w wykonywalnych pomocniczych program\u00f3w snap-update-ns i snap-discard-ns, uruchamianych z prawami root. \u015acie\u017cka do tych plik\u00f3w by\u0142a obliczana w funkcji sc_open_snapd_tool() na podstawie w\u0142asnej \u015bcie\u017cki z \/proc\/self\/exe, co pozwala na stworzenie twardego linku do snap-confine w swoim katalogu i umieszczenie w tym katalogu swoich wersji narz\u0119dzi snap-update-ns i snap-discard-ns. Po uruchomieniu przez twardy link snap-confine z prawami root uruchomi ono pliki snap-update-ns i snap-discard-ns umieszczone przez atakuj\u0105cego z bie\u017c\u0105cego katalogu. <\/p>\n
Druga podatno\u015b\u0107 jest spowodowana stanem wy\u015bcigu i mo\u017ce by\u0107 wykorzystana w domy\u015blnej konfiguracji Ubuntu Desktop. Aby exploitat m\u00f3g\u0142 zadzia\u0142a\u0107 w Ubuntu Server, konieczny jest wyb\u00f3r jednego z pakiet\u00f3w w sekcji «Wybrane Snaps Serwera» podczas instalacji. Stan wy\u015bcigu objawia si\u0119 w funkcji setup_private_mount(), wywo\u0142ywanej w czasie przygotowania przestrzeni nazw punkt\u00f3w montowania dla pakietu snap. Funkcja ta tworzy tymczasowy katalog «\\\/tmp\\\/snap.$SNAP_NAME\\\/tmp» lub u\u017cywa ju\u017c istniej\u0105cego do bind-montowania katalog\u00f3w dla pakietu w formacie snap. <\/p>\n
Poniewa\u017c nazwa tymczasowego katalogu jest przewidywalna, atakuj\u0105cy mo\u017ce zast\u0105pi\u0107 jego zawarto\u015b\u0107 symbolem linku w momencie po weryfikacji w\u0142a\u015bciciela, ale przed wywo\u0142aniem systemowego wywo\u0142ania mount. Na przyk\u0142ad mo\u017cna stworzy\u0107 w katalogu \\\/tmp\\\/snap.lxd symboliczny link «\\\/tmp\\\/snap.lxd\\\/tmp», wskazuj\u0105cy na dowolny katalog, a wywo\u0142anie mount() pod\u0105\u017cy za tymsymbolicznym linkiem i zamontuje katalog w przestrzeni nazw snap. W podobny spos\u00f3b mo\u017cna zamontowa\u0107 swoj\u0105 zawarto\u015b\u0107 w \\\/var\\\/lib, a przez zast\u0105pienie \\\/var\\\/lib\\\/snapd\\\/mount\\\/snap.snap-store.user-fstab zorganizowa\u0107 montowanie swojego katalogu \\\/etc w przestrzeni nazw pakietu snap, umo\u017cliwiaj\u0105c \u0142adowanie swojej biblioteki z uprawnieniami root poprzez zast\u0105pienie \\\/etc\\\/ld.so.preload. <\/p>\n
Zauwa\u017cono, \u017ce stworzenie exploit'a okaza\u0142o si\u0119 nietrywialnym zadaniem, poniewa\u017c narz\u0119dzie snap-confine zosta\u0142o napisane w j\u0119zyku Go z u\u017cyciem technik bezpiecznego programowania, ma ochron\u0119 opart\u0105 na profilach AppArmor, filtruje wywo\u0142ania systemowe na podstawie mechanizmu seccomp oraz stosuje przestrze\u0144 nazw do izolacji montowania. Niemniej jednak, badaczom uda\u0142o si\u0119 przygotowa\u0107 dzia\u0142aj\u0105cy exploit do uzyskania praw root w systemie. Kod exploit'a zostanie opublikowany za kilka tygodni, po tym jak u\u017cytkownicy zainstaluj\u0105 dostarczone aktualizacje. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"