Sårbarhet i pam_oath som möjliggör rootåtkomst i systemet

I PAM-modulen pam_oath, som ingår i paketet oath-toolkit och används vid tvåfaktorsautentisering med engångslösenord (OTP), har en sårbarhet upptäckts (CVE-2024-47191) som tillåter en icke-privilegierad användare att få root-åtkomst i systemet.

Modulen pam_oath körs med root-rättigheter och var ursprungligen avsedd att placera OATH-nycklar i filen /etc/users.oath, som endast root-användaren har åtkomst till. I version 2.6.7 av oath-toolkit lades stöd till för att placera nyckelfiler i användarnas hemkataloger (~/.config/users.oath). Icke-privilegierade användare fick möjlighet att ändra filerna med sina nycklar, men pam_oath återställde inte rättigheterna när den refererade till dessa filer och fortsatte att använda osäkra metoder för filhantering, avsedda för filer som är lagrade i kataloger som inte är åtkomliga för ändringar.

Sårbarheten orsakas av att efter varje lyckad autentisering med engångslösenord, körde pam_oath en överskrivning av nyckelfilen för att förhindra återanvändning av samma lösenord. Överskrivningsoperationen innebar att skapa en låsfil i samma katalog, skriva nytt innehåll till en fil med tillägget «.new» och ersätta den gamla filen med den nya versionen. Filen med tillägget «.new» skapades med samma rättigheter som målfilerna, men skrivoperationen utfördes av processen med root-rättigheter och utan att kontrollera filens existens.

Om filen var placerad i systemkatalogen uppstod inga problem, men efter att stödet för att placera nyckelfiler i hemkatalogerna introducerades, uppstod en lätt utnyttjande sårbarhet. För att utföra en attack räcker det att skapa en symbolisk länk «~/.config/oath.secrets.new» och rikta den mot valfri systemfil som kommer att skrivas över efter en lyckad autentisering.

För att få root-åtkomst kan man rikta den symboliska länken till filen /etc/shadow. I så fall kommer pam_oath att skriva den aktuella listan över nycklar till /etc/shadow och synkronisera ägaren och åtkomsträttigheterna med filen users.oath. Eftersom filen users.oath ägs av användaren, kommer detta att ställa in ägaren av /etc/shadow till den användaren, vilket gör att angriparen kan redigera filen /etc/shadow och skriva in nya inloggningsuppgifter för root-kontot.

Sårbarheten manifesterar sig från och med utgåvan av oath-toolkit 2.6.7 och åtgärdades (1,2,3) i version 2.6.12. Åtgärder för sårbarheten kan spåras i distributionerna på följande sidor: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch. Sårbarheten påverkar endast konfigurationer där det är tillåtet att placera filer med nycklar i hemkataloger, till exempel när man använder i PAM-inställningarna raden "auth [user_unknown=ignore success=ok] pam_oath.so usersfile=${HOME}/user.oath".

Uppgifter kan också nämna en nyligen upptäckt sårbarhet (CVE-2024-9313) i PAM-modulen från paketet Authd, utvecklat av Ubuntu-projektet. Sårbarheten gör det möjligt för en användare som hanteras av Authd-brokern att utge sig för att vara en annan användare som också hanteras av samma broker och framgångsrikt genomgå autentisering via su, sudo eller ssh som en annan användare. Problemet åtgärdades i version Authd 0.3.5.

Källa: opennet.ru