Sårbarheter i AppArmor som tillåter att få root-åtkomst i systemet

Qualys har upptäckt 9 sårbarheter i mandatstyrningssystemet AppArmor, där de farligaste gör det möjligt för en lokal, icke-privilegerad användare att få root-rättigheter på systemet, att ta sig ur isolerade containrar och att kringgå begränsningar som ställts in via AppArmor. Sårbarheterna har kodnamnet CrackArmor. CVE-identifierare har ännu inte tilldelats. Framgångsrika exempel på ökad privilegier har demonstrerats i Ubuntu 24.04 och Debian 13.

Problemen finns i LSM-modulen AppArmor sedan kärnan Linux 4.11, som släpptes 2017, och förekommer i distributioner som använder AppArmor, såsom Ubuntu, Debian, openSUSE och SUSE (från och med openSUSE/SUSE 16 är SELinux aktiverat som standard, men AppArmor lämnas som ett alternativ). Patchar för att åtgärda sårbarheterna har skickats till utvecklarna av Linux-kärnan och kommer inom kort att erbjudas användare i form av uppdateringar 6.18.18, 6.19.8, 6.12.77, 6.6.130, 6.1.167, 5.15.203 och 5.10.253. En fix har också inkluderats i dagens paketuppdateringar för kärnan för Ubuntu. Samtidigt har uppdateringar släppts för paket som sudo, sudo-ldap och util-linux (som inkluderar verktyget su), där brister som gjorde det möjligt att utnyttja sårbarheten i AppArmor har åtgärdats. I Debian är en uppdatering under förberedelse.

Problemen orsakas av en grundläggande sårbarhet i AppArmor av typen "förvirrad ställföreträdare" ("confused-deputy"), vilket gör det möjligt för icke-privilegerade användare att ladda upp, ersätta och ta bort godtyckliga profilmallar för AppArmor. Denna sårbarhet kan direkt användas för att stänga av skyddet av program och tjänster mot lokala och fjärrattacker (genom att skriva till pseudofiler /sys/kernel/security/apparmor/.load, .replace och .remove, till exempel för att ta bort begränsningar i cupsd och rsyslogd), orsaka överbelastningar (genom användning av förhindrande profiler) och kringgå begränsningar för namnrymd (genom att ladda ett nytt AppArmor-profil "userns", till exempel för /usr/bin/time, vilket gör att obegränsade användarnamnrymder kan skapas).

Möjligheten att byta AppArmor-profiler möjliggör också att man får root-privilegier genom att binda nya profiler som blockerar åtkomst till vissa systemanrop till privilegierade verktyg som su och sudo. Genom att blockera setuid-operationen (CAP_SETUID) för sudo-verktyget i kombination med manipulation av miljövariabeln MAIL_CONFIG för att byta katalog för e-postinställningar kan man få root-rättigheter. servern Postfix.

Metodens kärna är att när det uppstår problem skickar sudo-verktyget ett meddelande till systemadministratören genom att köra /usr/sbin/sendmail. Genom att blockera privilegieförflyttning kan man få den här processen att köras med root-rettigheter, och genom att ställa in miljövariabeln MAIL_CONFIG innan man kör sudo kan man ge sendmail-verktyget andra inställningar, inklusive att ange sin egen postdrop-hanterare som körs vid sändning av e-post. $ mkdir /tmp/postfix $ cat > /tmp/postfix/main.cf < /tmp/postfix/postdrop <> /tmp/postfix/pwned EOF $ chmod -R 0755 /tmp/postfix $ apparmor_parser -K -o sudo.pf < /sys/kernel/security/apparmor/.replace Lösenord: $ env -i MAIL_CONFIG=/tmp/postfix /usr/bin/sudo whatever sudo: PERM_SUDOERS: setresuid(-1, 1, -1): Åtgärd inte tillåten sudo: kan inte öppna /etc/sudoers: Åtgärd inte tillåten sudo: setresuid() [0, 0, 0] -> [1001, -1, -1]: Åtgärd inte tillåten sudo: fel vid initiering av audit-plugin sudoers_audit $ cat /tmp/postfix/pwned uid=0(root) gid=1001(jane) grupper=1001(jane),100(users)

Andra metoder för att höja privilegier inkluderar sårbarheter i AppArmor-koden som körs på Linux-kärnnivå. Det visas hur man kan få root-rettigheter genom sårbarheter orsakade av dubbel exekvering av funktionen free() och åtkomst till redan frigjord minnesområde (use-after-free) inom koden för att ladda och byta AppArmor-profiler. Till exempel sparar AppArmor profilen i strukturen aa_loaddata, där minne allokeras i slab-cache kmalloc-192, och på grund av ett tävlingsläge utesluts inte åtkomst till minnet som strukturen upptog efter att den har frigjorts. Detta problem kan utnyttjas för att få kontroll över frigjord minne och omallokera den frigjorda minnessidan för att mappa innehållet i filen /etc/passwd och skriva över raden med root-lösenordet.

Källa: opennet.ru