V orodju za izolirano izvajanje aplikacij Firejail je bila odkrita ranljivost (CVE-2022-31214), ki omogoča lokalnemu uporabniku pridobitev pravic root v osnovnem sistemu. V javnosti je na voljo delujoč eksploit, preverjen v aktualnih izdajah openSUSE, Debian, Arch, Gentoo in Fedora z nameščenim orodjem firejail. Težava je bila odpravljena v izdanju firejail 0.9.70. Kot obvoda zaščite lahko v nastavitvah nastavite (/?etc/firejail/firejail.config) parametre 'join no' in 'force-nonewprivs yes'.
Firejail za izolacijo uporablja mehanizem prostorskih imen (namespaces), AppArmor in filtriranje sistemskih klicev (seccomp-bpf) v Linuxu, vendar za nastavitev izoliranega zagona potrebuje povišane privilegije, ki jih pridobi s povezavo na ukaz za SUID root ali z zagonom prek sudo. Ranljivost je povzročena s napako v logiki delovanja možnosti '--join=', namenjene za povezovanje z že delujočim izoliranim okoljem (podobno ukazu login za sandbox okolje), z določitvijo okolja po delovnem identifikatorju procesa. V fazi pred ponastavitvijo privilegijev firejail določi privilegije navedenega procesa in jih uporabi za nov proces, ki se povezuje v okolje z možnostjo '--join'.
Pred povezovanjem se izvede preverjanje, ali je naveden proces zagnan v okolju firejail. To preverjanje ocenjuje prisotnost datoteke /run/firejail/mnt/join. Za izkoriščanje ranljivosti lahko napadalec simulira lažno neizolirano okolje firejail, pri čemer uporablja prostor točk montiranja (mount namespace), nato pa se poveže z njim prek možnosti '--join'. Če v nastavitvah ni aktiviran način prepovedi pridobitve dodatnih privilegijev v novih procesih (prctl NO_NEW_PRIVS), bo firejail uporabnika povezal s to lažno okolje in poskusil uporabiti nastavitve prostorskih imen uporabniških identifikatorjev (user namespace) procesa init (PID 1).
V rezultatu bo proces, povezan z "firejail —join", ostal v izvirnem uporabniškem prostoru identifikatorjev uporabnikov z nespremenjenimi privilegiji, vendar v drugem prostoru točk montaže, ki ga popolnoma obvladuje napadalec. Med drugim lahko napadalec izvaja setuid-root programe v ustvarjenem prostoru točk montaže, kar omogoča na primer spremembo nastavitev /etc/sudoers ali parametrov PAM v svoji datotečni hierarhiji in pridobitev možnosti izvajanja ukazov s pravicami root s pomočjo orodij sudo ali su.
Izvor: opennet.ru
