Sårbarheter i swhkd, ett snabbkommandohanterare för Wayland

En swhkd (Simple Wayland HotKey Daemon) har en serie sårbarheter upptäckts, orsakade av bristande hantering av temporära filer, kommandoradsparametrar och unix-sockets. Programmet är skrivet i Rust och hanterar tryckningar av snabbtangenter i miljöer baserade på Wayland-protokollet (kompatibelt på konfigurationsfilnivå med processen sxhkd, som används i miljöer baserade på X11).

Paketet innehåller en oprivilegierad process, swhks, som utför åtgärder för snabbtangenter och en bakgrundsprocess, swhkd, som körs med root-rättigheter och interagerar med inmatningsenheter på API-nivå via uinput. För att organisera samverkan mellan swhks och swhkd används en Unix-socket. Genom Polkit-regler ges varje lokal användare möjlighet att starta processen /usr/bin/swhkd med root-rättigheter och överföra valfria parametrar till den.

Upptäckta sårbarheter:

• CVE-2022-27815 – sparande av PID för processen i en fil med ett förutsägbart namn och i en katalog som är skrivbar av andra användare (/tmp/swhkd.pid). Varje användare kan skapa filen /tmp/swhkd.pid och placera PID:n för en befintlig process där, vilket leder till att swhkd inte kan startas. I avsaknad av skydd mot skapande av symboliska länkar i /tmp kan sårbarheten användas för att skapa eller skriva över filer i vilken systemkatalog som helst (PID skrivs till filen) eller för att bestämma innehållet i vilken fil som helst i systemet (swhkd skriver ut allt innehåll från PID-filen till stdout). Det är anmärkningsvärt att i den utfärdade korrigeringen har PID-filen flyttats från katalogen /run till katalogen /etc (/etc/swhkd/runtime/swhkd_{uid}.pid), där den inte heller borde vara.
• CVE-2022-27814 – genom att manipulera kommandoradsparametern "-c", som används för att ange konfigurationsfilen, kan man fastställa existensen av vilken fil som helst i systemet. Till exempel, för att kontrollera /root/.somefile kan man köra "pkexec /usr/bin/swhkd -d -c /root/.somefile" och om filen saknas kommer felmeddelandet "/root/.somefile doesn’t exist" att visas. Liksom i fallet med den första sårbarheten väcker korrigeringen av problemet förundran – lösningen innebär att den externa verktygen "cat" nu används för att läsa konfigurationsfilen (‘Command::new(“/bin/cat”).arg(path).output()’).
• CVE-2022-27819 – problemet är också relaterat till användningen av alternativet "-c", enligt vilket konfigurationsfilen laddas helt och parseras utan att kontrollera storlek och typ av fil. Till exempel kan ett blockenhet anges vid start för att orsaka ett tjänsteavbrott genom att utarma ledigt minne och skapa parasitär in- och utmatning ("pkexec /usr/bin/swhkd -d -c /dev/sda") eller en teckenhet som ger en oändlig datastream. Problemet har åtgärdats genom att ta bort privilegier innan filen öppnas, men åtgärden visade sig inte vara fullständig, eftersom endast användar-ID (UID) återställs, medan grupp-ID (GID) förblir detsamma.
• CVE-2022-27818 – för att skapa en Unix-socket används filen /tmp/swhkd.sock som skapas i en offentligt skrivbar katalog, vilket orsakar liknande problem som den första sårbarheten (alla användare kan skapa /tmp/swhkd.sock och generera eller fånga tangentbordshändelser).
• CVE-2022-27817 – inmatningshändelser tas emot från alla enheter och i alla sessioner, dvs. en användare från en annan Wayland-session eller från konsolen kan fånga händelser när andra användare trycker på genvägar.
• CVE-2022-27816 – processen swhks, liksom swhkd, använder PID-filen /tmp/swhks.pid i den offentligt skrivbara katalogen /tmp. Problemet är liknande den första sårbarheten, men är inte lika farligt, eftersom swhks körs under en icke-privilegierad användare.

Källa: opennet.ru