Një dobësi është zbuluar në ndihmën për ekzekutimin e izoluara të aplikacioneve Firejail (CVE-2022-31214), e cila lejon përdoruesin lokal të fitojë të drejtat root në sistemin kryesor. Një exploit funksional është i disponueshëm publikisht, verifikuar në versionet e fundit të openSUSE, Debian, Arch, Gentoo dhe Fedora me ndihmën firejail të instaluar. Problemi është rregulluar në versionin firejail 0.9.70. Si një mënyrë mbrojtjeje, mund të vendosni parametrat "join no" dhe "force-nonewprivs yes" në konfigurimin (/etc/firejail/firejail.config).
Firejail pĂ«rdor mekanizmin e hapĂ«sirave emĂ«rtimi (namespaces), AppArmor dhe filtrimin e thirrjeve sistemore (seccomp-bpf) nĂ« Linux pĂ«r izolim, por pĂ«r tĂ« konfiguruar ekzekutimin e izoluar kĂ«rkon privilegje tĂ« ngritura, tĂ« cilat i fiton pĂ«rmes lidhjes me ndihmĂ«n e flamurit suid root ose duke e ekzekutuar me sudo. DobĂ«sia shkaktohet nga njĂ« gabim nĂ« logjikĂ«n e funksionit "âjoin=", i destinuar pĂ«r t'u lidhur me njĂ« ambient tĂ« izoluar qĂ« tashmĂ« punon (analog me komandĂ«n login pĂ«r ambientin sandbox) duke e identifikuar ambientin sipas identifikuesit tĂ« procesit qĂ« punon nĂ« tĂ«. NĂ« fazĂ«n para qĂ« shkarkohen privilegjet, firejail pĂ«rcakton privilegjet e procesit tĂ« specifikuar dhe i aplikon ato nĂ« procesin e ri qĂ« lidhet me ambientin pĂ«rmes opsionit "âjoin".
Para se tĂ« lidhĂ«, bĂ«het njĂ« kontroll nĂ«se procesi i specifikuar Ă«shtĂ« aktivizuar nĂ« ambientin firejail. Ky kontroll vlerĂ«son praninĂ« e skedarit /run/firejail/mnt/join. PĂ«r tĂ« eksploruar dobĂ«sinĂ«, sulmuesi mund tĂ« simulojĂ« njĂ« ambient jo tĂ« izoluar firejail, duke pĂ«rdorur hapĂ«sirĂ«n e montimeve (mount namespace), pastaj tĂ« lidhet me tĂ« pĂ«rmes opsionit "âjoin". NĂ«se nĂ« konfigurim nuk Ă«shtĂ« aktivizuar regjimi i ndalimit tĂ« marrjes sĂ« privilegjeve tĂ« reja nĂ« proceset e reja (prctl NO_NEW_PRIVS), firejail do tĂ« lidhĂ« pĂ«rdoruesin nĂ« ambientin e fikcionalizuar dhe do tĂ« pĂ«rpiqet tĂ« aplikojĂ« cilĂ«simet e hapĂ«sirĂ«s sĂ« emĂ«rtimit tĂ« identifikuesve tĂ« pĂ«rdoruesve (user namespace) tĂ« procesit init (PID 1).
Si gjithçka, procesi i lidhur pĂ«rmes «firejail âjoin» do tĂ« jetĂ« nĂ« hapĂ«sirĂ«n e emrave tĂ« identifikuesve tĂ« pĂ«rdoruesit me privilegje tĂ« pandryshuara, por nĂ« njĂ« hapĂ«sirĂ« me pika montimi tĂ« ndryshme, tĂ« kontrolluara plotĂ«sisht nga sulmuesi. KĂ«shtu, sulmuesi mund tĂ« ekzekutojĂ« programe setuid-root nĂ« hapĂ«sirĂ«n e tij tĂ« krijuar tĂ« pikave montimi, gjĂ« qĂ« i lejon, pĂ«r shembull, tĂ« ndryshojĂ« konfigurimet nĂ« /etc/sudoers ose parametrat e PAM nĂ« hierarkinĂ« e tij tĂ« skedarĂ«ve dhe tĂ« fitojĂ« mundĂ«sinĂ« pĂ«r tĂ« ekzekutuar komanda me tĂ« drejta root duke pĂ«rdorur utilitetet sudo ose su.
Burimi: opennet.ru
