Sårbarhet i firejail som möjliggör att få root-åtkomst i systemet

I verktyget för isolerad körning av applikationer Firejail har en sårbarhet identifierats (CVE-2022-31214), som möjliggör för en lokal användare att erhålla root-rättigheter i det primära systemet. Det finns en fungerande exploit offentlig tillgänglig, testad på aktuella versioner av openSUSE, Debian, Arch, Gentoo och Fedora med den installerade Firejail-verktyget. Problemet har åtgärdats i versionen Firejail 0.9.70. Som en tillfällig skyddsåtgärd kan inställningarna i (\/etc\/firejail\/firejail.config) ställas in med alternativen "join no" och "force-nonewprivs yes."

Firejail använder namespaces, AppArmor och filtrering av systemanrop (seccomp-bpf) i Linux för isolering, men för att konfigurera isolerad körning krävs högre privilegier, som erhålls genom bindning till verktyget med suid root-flaggan eller genom att köra det med sudo. Sårbarheten uppstår på grund av ett logiskt fel i funktionen "—join=", som är avsedd för att ansluta till en redan existerande isolerad miljö (motsvarande logginstruktionen för sandbox-miljöer) med bestämning av miljön baserat på det körande processens identifierare. Innan privilegierna återställs definierar Firejail privilegierna för den angivna processen och tillämpar dessa på den nya processen som ansluts till miljön via alternativet "—join."

Innan anslutning kontrolleras om den angivna processen körs i Firejail-miljön. Denna kontroll utvärderar förekomsten av filen \/run\/firejail\/mnt\/join. För att exploatera sårbarheten kan angriparen simulera en fiktiv, icke-isolerad Firejail-miljö, genom att använda en mount namespace, och därefter ansluta till den med alternativet "—join." Om inställningarna inte har aktiverat läget för att förhindra erhållande av ytterligare privilegier i nya processer (prctl NO_NEW_PRIVS), kommer Firejail att ansluta användaren till den fiktiva miljön och försöka tillämpa inställningarna för användarnamnens namespaces från init-processen (PID 1).

Som en följd av detta kommer processen som kopplas genom «firejail —join» att befinna sig i användarens ursprungliga namnrymd för användaridentifierare med oförändrade privilegier, men i en annan monteringspunkt som helt kontrolleras av angriparen. Angriparen kan även köra setuid-root-program inom den skapade monteringspunkten, vilket till exempel möjliggör att ändra inställningarna i /etc/sudoers eller PAM-parametrar i sin filhierarki och få möjlighet att köra kommandon med root-rättigheter via verktygen sudo eller su.

Källa: opennet.ru