{"id":120608,"date":"2024-11-20T01:09:18","date_gmt":"2024-11-19T23:09:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-utilite-needrestart-pozvolyayushhie-poluchit-root-dostup-v-ubuntu-server"},"modified":"2024-11-20T01:09:18","modified_gmt":"2024-11-19T23:09:18","slug":"uyazvimosti-v-utilite-needrestart-pozvolyayushhie-poluchit-root-dostup-v-ubuntu-server","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-utilite-needrestart-pozvolyayushhie-poluchit-root-dostup-v-ubuntu-server","title":{"rendered":"Luki w narz\u0119dziu needrestart pozwalaj\u0105ce uzyska\u0107 dost\u0119p root w Ubuntu Server.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Firma Qualys odkry\u0142a trzy luki w narz\u0119dziu needrestart, kt\u00f3re s\u0142u\u017cy do ponownego uruchamiania proces\u00f3w w tle po aktualizacji bibliotek u\u017cywanych przez dane procesy. Od wersji Ubuntu 21.04 narz\u0119dzie needrestart jest cz\u0119\u015bci\u0105 podstawowego \u015brodowiska Ubuntu Server, w kt\u00f3rym jest uruchamiane z prawami roota na ko\u0144cu ka\u017cdej transakcji mened\u017cera pakiet\u00f3w APT, skanuje uruchomione procesy i ponownie uruchamia te, kt\u00f3re s\u0105 powi\u0105zane z plikami zmienionymi po aktualizacji pakiet\u00f3w. Odkryte luki umo\u017cliwiaj\u0105 lokalnemu u\u017cytkownikowi bez przywilej\u00f3w uzyskanie uprawnie\u0144 roota w domy\u015blnej konfiguracji Ubuntu Server. <\/p>\n
Luki obecne w needrestart od wersji 0.8 (2014 rok) zosta\u0142y usuni\u0119te w wydaniu needrestart 3.8. Problemy te zosta\u0142y r\u00f3wnie\u017c naprawione w dystrybucjach Debiana i Ubuntu. Jako spos\u00f3b obej\u015bcia blokady eksploatacji luki mo\u017cna wy\u0142\u0105czy\u0107 skanowanie interpreter\u00f3w, ustawiaj\u0105c w pliku konfiguracyjnym \/etc\/needrestart\/needrestart.conf parametr \"$nrconf{interpscan} = 0$\". <\/p>\n
Luki s\u0105 obecne w kodzie realizuj\u0105cym tryb okre\u015blania aktualizacji skrypt\u00f3w uruchamianych z wykorzystaniem interpreter\u00f3w. Zidentyfikowane problemy: <\/p>\n
\n
CVE-2024-48990 \u2014 lokalny u\u017cytkownik mo\u017ce uzyska\u0107 dost\u0119p do wykonania kodu z uprawnieniami roota poprzez stworzenie warunk\u00f3w do uruchomienia interpretera Pythona z ustawion\u0105 zmienn\u0105 \u015brodowiskow\u0105 PYTHONPATH przez atakuj\u0105cego. Opr\u00f3cz u\u017cycia Pythona atak mo\u017ce by\u0107 r\u00f3wnie\u017c przeprowadzony (CVE-2024-48992) poprzez uruchomienie interpretera Ruby z zmienn\u0105 \u015brodowiskow\u0105 RUBYLIB.\n
Luki s\u0105 spowodowane tym, \u017ce w trakcie uruchamiania zmodyfikowanego skryptu narz\u0119dzie needrestart ustawia zmienn\u0105 \u015brodowiskow\u0105 PYTHONPATH na podstawie zawarto\u015bci pliku \/proc\/pid\/environ, kt\u00f3r\u0105 nast\u0119pnie u\u017cywa do uruchamiania w\u0142asnego kodu Pythona. W zwi\u0105zku z tym atakuj\u0105cy mo\u017ce poczeka\u0107 na aktywno\u015b\u0107 zwi\u0105zan\u0105 z prac\u0105 mened\u017cera pakiet\u00f3w APT, zasymulowa\u0107 zmian\u0119 swojego skryptu i ustawi\u0107 dla niego zmienn\u0105 \u015brodowiskow\u0105 PYTHONPATH, kt\u00f3ra tak\u017ce zostanie zastosowana podczas uruchamiania wbudowanego w needrestart kodu Pythona (\"import sys\n print(sys.path)\"). <\/p>\n
Na przyk\u0142ad, aby wyeksploatowa\u0107 luk\u0119, mo\u017cna uruchomi\u0107 ci\u0105gle dzia\u0142aj\u0105cy proces Pythona w pami\u0119ci, ustawiaj\u0105c dla niego zmienn\u0105 \u015brodowiskow\u0105 \"PYTHONPATH=\/home\/test\", i umie\u015bci\u0107 wsp\u00f3ln\u0105 bibliotek\u0119 \"home\/test\/importlib\/__init__.so\", kt\u00f3ra zostanie wykonana podczas uruchamiania uprzywilejowanego kodu Pythona w needrestart. <\/p>\n
CVE-2024-48991 \u2014 lokalny u\u017cytkownik mo\u017ce uzyska\u0107 wykonanie kodu z uprawnieniami roota poprzez inicjowanie warunk\u00f3w wy\u015bcigu (race condition), w wyniku czego needrestart uruchomi fa\u0142szywy interpreter Pythona podstawiony przez atakuj\u0105cego, zamiast systemowego interpretera Pythona. Istota luki jest podobna do wcze\u015bniej wspomnianego problemu, r\u00f3\u017cnica polega tylko na tym, \u017ce needrestart identyfikuje nazw\u0119 procesu Pythona (np. \/usr\/bin\/python3) poprzez odczyt \"proc\/pid\/exe\".\n
Aby wykorzysta\u0107 luk\u0119, mo\u017cna stworzy\u0107 proces \/home\/test\/race, kt\u00f3ry za pomoc\u0105 mechanizmu inotify poczeka na moment, gdy needrestart zacznie czyta\u0107 zawarto\u015b\u0107 \/proc\/pid\/exe, i natychmiast uruchomi przez funkcj\u0119 execve systemowy interpreter Pythona. Poniewa\u017c needrestart nie wykonuje weryfikacji, czy jest to prawdziwy Python, we\u017amie pod uwag\u0119, \u017ce \/home\/test\/race to interpreter Pythona i uruchomi go dla w\u0142asnego kodu. <\/p>\n
CVE-2024-11003 \u2014 lokalny u\u017cytkownik mo\u017ce uzyska\u0107 mo\u017cliwo\u015b\u0107 wykonywania dowolnych polece\u0144 shell z uprawnieniami root poprzez stworzenie warunk\u00f3w do przetwarzania w needrestart nazw plik\u00f3w w formacie \u201ekomenda|\u201d, kt\u00f3rych przekazanie do funkcji Perl open() skutkuje uruchomieniem komendy. W rzeczywisto\u015bci podatno\u015b\u0107 objawia si\u0119 w module Perl ScanDeps (CVE-2024-10224), ale jest spowodowana przekazaniem do tego modu\u0142u zewn\u0119trznych parametr\u00f3w bez odpowiedniej weryfikacji.\n
Atak mo\u017ce by\u0107 przeprowadzony poprzez uruchomienie skryptu Perl z symbolem \u201e|\u201d w nazwie, na przyk\u0142ad \u201e\/home\/test\/perl|\u201d. W trakcie wykonywania funkcji scan_deps() w needrestart dany plik zostanie otwarty przez funkcj\u0119 open(), kt\u00f3ra potraktuje symbol \u201e|\u201d jako znacznik do uruchomienia programu \u201e\/home\/test\/perl\u201d i wykorzystania wynikowego strumienia wyj\u015bciowego tej\u017ce aplikacji. <\/ul>\n