{"id":103885,"date":"2022-04-27T15:36:48","date_gmt":"2022-04-27T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root"},"modified":"2022-04-27T15:36:48","modified_gmt":"2022-04-27T13:36:49","slug":"uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-networkd-dispatcher-pozvolyayushhie-poluchit-prava-root","title":{"rendered":"Luki w networkd-dispatcher, kt\u00f3re pozwalaj\u0105 na uzyskanie uprawnie\u0144 roota","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Badacze ds. bezpiecze\u0144stwa z firmy Microsoft zidentyfikowali dwie podatno\u015bci (CVE-2022-29799, CVE-2022-29800) w us\u0142udze networkd-dispatcher, kt\u00f3re otrzyma\u0142y nazw\u0119 kodow\u0105 Nimbuspwn i umo\u017cliwiaj\u0105 nieuprzywilejowanemu u\u017cytkownikowi wykonanie dowolnych polece\u0144 z prawami root. Problem zosta\u0142 rozwi\u0105zany w wersji networkd-dispatcher 2.2. Na razie brak informacji o publikacji aktualizacji przez dystrybucje (Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux). <\/p>\n

Networkd-dispatcher jest u\u017cywany w wielu dystrybucjach Linuxa, w tym w Ubuntu, kt\u00f3re korzystaj\u0105 z procesu w tle systemd-networkd do konfiguracji parametr\u00f3w sieci, i pe\u0142ni funkcje zbli\u017cone do NetworkManager-dispatcher, czyli uruchamia skrypty w przypadku zmiany stanu po\u0142\u0105czenia sieciowego, na przyk\u0142ad jest u\u017cywany do uruchamiania VPN<\/a> po nawi\u0105zaniu podstawowego po\u0142\u0105czenia sieciowego. <\/p>\n

Powi\u0105zany z networkd-dispatcher proces w tle dzia\u0142a z prawami root i odbiera sygna\u0142y o zdarzeniach przez szyn\u0119 D-Bus. Informacje o zdarzeniach zwi\u0105zanych ze zmian\u0105 stanu po\u0142\u0105cze\u0144 sieciowych s\u0105 przesy\u0142ane przez us\u0142ug\u0119 systemd-networkd. Problem polega na tym, \u017ce nieuprzywilejowani u\u017cytkownicy mog\u0105 stworzy\u0107 zdarzenie o nieistniej\u0105cym stanie i zainicjowa\u0107 uruchomienie swojego skryptu, kt\u00f3ry zostanie wykonany z prawami root. <\/p>\n

Systemd-networkd jest zaprojektowany do uruchamiania tylko systemowych skrypt\u00f3w obs\u0142ugi znajduj\u0105cych si\u0119 w katalogu \/etc\/networkd-dispatcher, kt\u00f3re nie s\u0105 dost\u0119pne do zast\u0105pienia przez u\u017cytkownika, ale z powodu luki (CVE-2022-29799) w kodzie przetwarzania \u015bcie\u017cek plik\u00f3w istnia\u0142a mo\u017cliwo\u015b\u0107 wyj\u015bcia poza podstawowy katalog i uruchomienia dowolnych skrypt\u00f3w. W szczeg\u00f3lno\u015bci, podczas tworzenia \u015bcie\u017cki do skryptu u\u017cywano warto\u015bci OperationalState i AdministrativeState przekazywanych przez D-Bus, w kt\u00f3rych nie miano oczyszczenia specjalnych znak\u00f3w. Atakuj\u0105cy m\u00f3g\u0142 wygenerowa\u0107 w\u0142asny stan, w nazwie kt\u00f3rego znajdowa\u0142y si\u0119 znaki \u201e..\/\u201d i przekierowa\u0107 wywo\u0142anie networkd-dispatchera do innego katalogu. <\/p>\n

Druga luka (CVE-2022-29800) dotyczy stanu wy\u015bcigu \u2014 mi\u0119dzy sprawdzeniem parametr\u00f3w skryptu (nale\u017cno\u015b\u0107 do roota) a jego uruchomieniem istnia\u0142 kr\u00f3tki czas, wystarczaj\u0105cy do zamiany pliku i omini\u0119cia sprawdzenia przynale\u017cno\u015bci skryptu do u\u017cytkownika root. Ponadto, w networkd-dispatcher brakowa\u0142o sprawdzenia na dowi\u0105zania symboliczne, w tym podczas uruchamiania skrypt\u00f3w za pomoc\u0105 wywo\u0142ania subprocess.Popen, co znacznie u\u0142atwi\u0142o przeprowadzenie ataku. <\/p>\n

Techniki eksploatacji: <\/p>\n