Säkerhetsbrister i Pagure och OBS som möjliggjorde kompromettering av paket i Fedora- och openSUSE-repositorier.

Säkerhetsforskare från Fenrisk har avslöjat sårbarheter i verktygen Pagure och OBS (Open Build Service), vilket gjorde det möjligt att kompromittera paketbyggnadsinfrastrukturen för Fedora och openSUSE. Forskarna demonstrerade att det var möjligt att genomföra en attack för att utföra godtycklig kod på servrar med Pagure och OBS, vilket kunde användas för att införa ändringar i paketen i Fedora- och openSUSE-repositorierna.

I Pagure-plattformen, som används i Fedora för samarbete kring kod och paketmetadata, har 4 sårbarheter identifierats. För att utnyttja de identifierade problemen krävs det att man har ett konto i Pagure, vilket vem som helst kan skaffa (för närvarande är 24899 användare registrerade på Pagure.io). Tre av problemen möjliggör att filer kan läsas i systemet, och ett problem kan möjliggöra att köra egen kod på. servern. Problemen identifierades den 1 januari 2024, rapporterades via bugzilla.redhat.com den 25 april 2024 och åtgärdades i Pagure inom 3 timmar.

• Sårbarheterna CVE-2024-4981 och CVE-2024-47515 orsakas av felaktig hantering av symboliska länkar i funktionerna för filuppdatering och arkivgenerering. Sårbarheterna möjliggör att innehållet i lokala filer på servern kan läsas, till exempel kan innehållet i filen med adminsessionens parametrar för Pagure avslöjas och åtkomst ges med dess rättigheter. Utnyttjande av sårbarheten i funktionen _update_file_in_git() innebär att man skapar ett repository i Pagure; lägger till en commit med en ny fil som skapats som en symbolisk länk till önskad systemfil; öppnar denna fil för redigering i webbgränssnittet.
• Sårbarheten (CVE-2024-4982) i funktionen view_issue_raw_file() möjliggör att man kan gå utanför den grundläggande katalogen genom att ange tecken "\/.." i parametrarna för den begärda frågan. Problemet gör att filer i systemet kan läsas, beroende på åtkomsträttigheterna för processen under vilken webbgränssnittet körs. Till exempel, för att visa filen \/etc\/passwd kan man öppna sidan "http:\/\/pagure.local:5000\/your-repository\/issue\/raw\/..\/..\/..\/..\/..\/..\/..\/etc\/passwd".
• Sårbarhet (CVE-2024-47516) i funktionen PagureRepo.log() möjliggör substitution av egna kommandon och exekvering av kod på servern. Problemet orsakas av att när man granskar historiken för en fil genom webbgränssnittet anropas kommandot "git" med ett branch-ID skickat som argument i kommandoraden (till exempel "/usr/bin/git —pretty=oneline —abbrev-commit — README.md"). Korrektheten av ID:t kontrolleras inte, så det går att istället skicka vilken kommandoradsoption som helst, exempelvis "—output=/tmp/foo.bar" för att omdirigera utdata till en fil. En angripare kan skriva över en fil i systemet genom att skicka en begäran av följande slag: http://pagure.local:5000/test/history/README.md?identifier=—output=/tmp/foo.bar

  Pagure körs under användaren git, så man kan endast skriva över filer som tillhör denna användare. För att utföra sin egen kod på servern kan man använda en tjänst för att få åtkomst till repot via SSH, vilket exekverar kommandot "bash -c /usr/libexec/pagure/aclchecker.py" vid anrop. En angripare kan utnyttja sårbarheten för att skriva över filen "/srv/git/.bashrc", och denna fil kommer att köras av kommandotolkaren bash vid åtkomst till repot via ssh.

  Angreppet innebär att registrera sig i systemet Pagure, skapa ett repository, lägga till en README.md-fil med en commit-kommentar av typen "|| /bin/bash" och skicka en begäran "http://pagure.local:5000/test/history/README.md?identifier=—output=/srv/git/.bashrc". Genom dessa steg kommer strängen "34а5с43 || /bin/bash" att skrivas till filen "/srv/git/.bashrc". För att köra den skapade filen "/srv/git/.bashrc" räcker det med att ansluta till repot via SSH med sitt eget användarkonto. Att exekvera kod med git-användarens rättigheter på servern Pagure gör det möjligt att kontrollera allt innehåll i repot med paket.

I plattformen OBS (Open Build Service), som används av openSUSE och vissa andra distributioner för att bygga paket, har en sårbarhet identifierats (CVE-2024-22033) som möjliggör exekvering av egen kod på servern. Sårbarheten identifierades den 27 juni 2024, rapporterades till openSUSE-projektet den 29 juni och åtgärdades den 10 juli.

Sårbarheten finns i tjänsten "obs-service-download_url", där det saknades korrekt kontroll av URL:en som används vid körning av wget från skriptet som hanterar nedladdningen av källkoden i OBS. En angripare kan ange en konfiguration av paketet i OBS där istället för URL:en för koden, kommer en kommandoradsparameter för wget att anges, till exempel: —output-document=\/tmp\/test tempfile

För att kringgå felet som uppstår vid försök att köra wget utan URL anges alternativet "download-manifest" i exemplet, vilket möjliggör angivande av en lista med URL:er i en separat fil. Det ovanstående exemplet kommer att leda till att kommandot körs: \/usr\/bin\/wget -i \/srv\/obs\/service\/XXXXX\/src\/tempfile -4 —output-document=\/tmp\/test

som tillåter att spara innehållet i filen \/tmp\/test som laddas ner från länken som anges i filen \/srv\/obs\/service\/XXXXX\/src\/tempfile från koden som angriparen laddade upp i OBS via gränssnittet build.opensuse.org, som tillåter fri registrering. Förutom att skriva över filen på servern, kan angriparen också skicka sig själv vilken fil som helst genom att ange alternativet "—post-file" istället för "—output-document", till exempel "—post-file=\/etc\/passwd". På så vis kan angriparen läsa och skriva filer på servern, så långt behörigheterna tillåter för den användare som tjänsten OBS körs som.

För att omvandla filskrivning till kodexekvering på servern föreslog forskarna en metod som består av två steg. De två stegen är nödvändiga eftersom angriparen kan skapa en fil ".wgetrc" med inställningar för wget, men detta är inte tillräckligt för att köra kommandon. Genom ".wgetrc" kan villkor skapas för att köra vilket program som helst i systemet, men utan att skicka argument till det. För att köra godtycklig kod föreslås det att programmet "prove" körs, vilket behandlar konfigurationsfilen ".proverc", som tillåter att alternativet "—exec" anges för att exekvera vilken kod som helst.

I det första steget skapas en fil «.proverc» i hemkatalogen för användaren «obsservicerun» genom de ovan nämnda manipulationerna med «download-manifest». Denna fil innehåller kommandon som kommer att köras när processen «prove» startas. I det andra steget skapas filen «.wgetrc» med parametern «use-askpass=\/usr\/bin\/prove», vilket leder till anrop av «prove». När dessa filer har skapats räcker det att skapa förutsättningar för att ladda ner data med hjälp av wget, vilket kommer att leda till att angriparens kod körs på servern med användarrättigheterna för «obsservicerun». Användarrättigheterna för «obsservicerun» är tillräckliga för att extrahera nycklar från arkiv som används av OBS-användare för att verifiera paket.

Tillägg: SUSE Product Security anser att faran med sårbarheten i OBS är överdriven och att forskarnas påstående om att problemet kan kompromettera alla paket i openSUSE-distributionen inte stämmer. Det noteras att tjänster i infrastrukturen build.opensuse.org körs i isolerade containrar som återskapas och saknar kritisk information. Den identifierade sårbarheten bedöms som farlig men otillräcklig för att kompromettera bygginfrastrukturen i openSUSE och de skapade paketen. Dessutom anges att åtgärderna i OBS-gränssnittet, som beskrivs i attackexemplet, endast kunde utföras i den lokala versionen av OBS installerad på utvecklarens arbetsstation.

Källa: opennet.ru