{"id":105785,"date":"2022-12-02T15:36:49","date_gmt":"2022-12-02T13:36:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/root-uyazvimost-v-instrumentarii-upravleniya-paketami-snap"},"modified":"2022-12-02T15:36:49","modified_gmt":"2022-12-02T13:36:49","slug":"root-uyazvimost-v-instrumentarii-upravleniya-paketami-snap","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/root-uyazvimost-v-instrumentarii-upravleniya-paketami-snap","title":{"rendered":"Root ranljivost v orodju za upravljanje paketov Snap","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Podjetje Qualys je odkrilo tretjo resno ranljivost v leto\u0161njem letu (CVE-2022-3328) v orodju snap-confine, ki se dostavlja s flagom SUID root in ga proces snapd kli\u010de za ustvarjanje izvr\u0161nega okolja za aplikacije, ki jih distribuirajo samostojni paketi v formatu snap. Ranljivost omogo\u010da lokalnemu nepriviligiranemu uporabniku, da dobi izvr\u0161evanje kode s pravicami root v privzeti konfiguraciji Ubuntu. Te\u017eava je odpravljena v razli\u010dici snapd 2.57.6. Posodobitve paketov so bile izdane za vse podprte veje Ubuntu. <\/p>\n
Zanimivo je, da je bila obravnavana ranljivost vklju\u010dena v procesu odprave podobne ranljivosti februarja v snap-confine. Raziskovalcem je uspelo pripraviti delujo\u010d eksploit, ki omogo\u010da root dostop v Ubuntu Server 22.04, kjer sta poleg ranljivosti v snap-confine vklju\u010deni \u0161e dve ranljivosti v procesu multipathd (CVE-2022-41974, CVE-2022-41973), ki sta povezani z obvodom overitve pristojnosti pri po\u0161iljanju privilegiranih ukazov in nevarnim ravnanjem s simboli\u010dnimi povezavami. <\/p>\n
Ranljivost v snap-confine povzro\u010da stanje dirke v funkciji must_mkdir_and_open_with_perms(), ki je bila dodana za za\u0161\u010dito pred nadome\u0161\u010danjem imenika \/tmp\/snap.$SNAP_NAME s simboli\u010dno povezavo po preverjanju lastni\u0161tva, vendar pred klicem sistemskega klica mount za bind-montiranje imenikov za paket v formatu snap. Dodatna za\u0161\u010dita se je zmanj\u0161ala na preimenovanje imenika \/tmp\/snap.$SNAP_NAME v drug imenik v \/tmp z naklju\u010dnim imenom, \u010de ta obstaja in ne pripada uporabniku root. <\/p>\n
Med delovanjem operacije preimenovanja mape \/tmp\/snap.$SNAP_NAME so raziskovalci izkoristili dejstvo, da snap-confine prav tako ustvari mapo \/tmp\/snap.rootfs_XXXXXX za koren vsebine paketa snap. Del «XXXXXX» v imenu je izbran naklju\u010dno s pomo\u010djo mkdtemp(), vendar paket z imenom «rootfs_XXXXXX» lahko prestane preverjanje v funkciji sc_instance_name_validate (torej ideja je v tem, da ime $SNAP_NAME prevzame vrednost «rootfs_XXXXXX» in takrat bo operacija preimenovanja povzro\u010dila prepis mape \/tmp\/snap.rootfs_XXXXXX s korenom snap). <\/p>\n
Za dosego isto\u010dasne rabe \/tmp\/snap.rootfs_XXXXXX in preimenovanja \/tmp\/snap.$SNAP_NAME sta bila zagnana dva primerka snap-confine. Ko je prvi primerek ustvaril \/tmp\/snap.rootfs_XXXXXX, se je proces zaklenil in zagnal drugi primerek z imenom paketa rootfs_XXXXXX, kar je povzro\u010dilo, da je za\u010dasni imenik \/tmp\/snap.$SNAP_NAME drugega primerka postal korenski imenik \/tmp\/snap.rootfs_XXXXXX prvega. Takoj po izvedbi preimenovanja se je drugi primerek nenadoma kon\u010dal, medtem ko je bil \/tmp\/snap.rootfs_XXXXXX zamenjan z manipulacijo stanja dirke, kot pri izkori\u0161\u010danju februarske ranljivosti. Po zamenjavi je bila zaklenitev prvega primerka odstranjena, napadalci pa so pridobili popoln nadzor nad korenskim imenikom snap. <\/p>\n
V zadnji fazi je bila ustvarjena simboli\u010dna povezava \/tmp\/snap.rootfs_XXXXXX\/tmp, ki jo je funkcija sc_bootstrap_mount_namespace() uporabila za bind-montiranje dostopnega za pisanje dejanskega imenika \/tmp v kateri koli imenik FS, saj klic mount() sledi simboli\u010dnim povezavam pred montiranjem. Tak\u0161no montiranje je blokirano z omejitvami AppArmor, vendar je bila za obhod te blokade v izkori\u0161\u010danju izkori\u0161\u010denih dve pomo\u017eni ranljivosti v multipathd. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"