Sårbarhet i GNU screen som möjliggör exekvering av kod med root-rättigheter

I terminalfönsterhanteraren (multiplexer) GNU screen, som erbjuder ett flervalsgränssnitt i konsolen, har 5 sårbarheter identifierats. Det mest allvarliga problemet (CVE-2025-23395) möjliggör att få root-rättigheter i systemet. Åtgärden är inaktiverad i dagens utgåva av screen 5.0.1.

Sårbarheten CVE-2025-23395 uppträder endast i versionen screen 5.0.0, som levereras med Fedora Linux, Arch Linux, NetBSD, OpenBSD och Alpine. I Debian, Ubuntu, RHEL (EPEL 9), Gentoo, FreeBSD, SUSE/openSUSE och OpenWrt fortsätter man att leverera versionen screen 4.x. Utnyttjande av sårbarheten är möjligt i system som installerar exekverbara filer av screen med setuid-root-flagga, som i Arch Linux och NetBSD. I Fedora installeras verktyget med setgid-flagga för att få rättigheter för screen-gruppen, vilket gör det möjligt att placera sockets i systemkatalogen /run/screen, vilket begränsar möjligheterna för en denial-of-service-attack.

Sårbarheten orsakas av att funktionen logfile_reopen() körs med root-rättigheter innan privilegierna har avbrutits, men hanterar data i kontexten av kataloger för den nuvarande oprivilegierade användaren som körde screen. Det är värt att notera att den initiala öppningen av loggen görs med korrekt privilegieborttagning, men vid återöppning av loggfiler sker ingen privilegieborttagning.

Genom att manipulera aktiveringen av loggningen av sessioninnehåll kan användaren åstadkomma att data skrivs till en fil med root-rättigheter, även om filen kan sparas i användarens hemkatalog. Attacken innebär att den skapade loggfilen tas bort och ersätts med en symbolisk länk som pekar på valfri fil i systemet. Om filen redan existerar kommer data med innehållet från screen-sessionen att läggas till utan att byta ägare. Om filen inte existerar kommer den att skapas med rättigheter 0644, ägare root och grupp som den nuvarande användaren.

Attackalgoritm för att skapa filen /etc/profile.d/exploit.sh med kommandot "chown $USER /root":

• Skapa en screen-session med aktiverad loggning $ screen -Logfile $HOME/screen.log
• Tryck på tangentkombinationen Ctrl-a-H för att aktivera loggningen.
• Ta bort loggfilen och ersätt den med en symbolisk länk som leder till skapandet av filen /etc/profile.d/exploit.sh $ rm $HOME/screen.log; ln -s /etc/profile.d/exploit.sh $HOME/screen.log
• Återgå till screen-sessionen och skriv ut data som kommer att skrivas till loggfilen. $ echo -e "\nchown $USER /root;"
• När det riktiga root-kontot kopplas till systemet kommer skriptet /etc/profile.d/exploit.sh att köras, vilket förändrar ägaren för katalogen /root. $ ls -lhd /root drwxr-x— 5 user root 4.0K Dec 30 2020 .
• På liknande sätt kan konfigurationsfiler för sudo skapas eller kommandon läggas till i slutet av systemskrifterna.

Mindre farliga sårbarheter i screen:

• CVE-2025-46802 — avlyssning av TTY-enheten i flersessioner (användaren kan få en behörighet för enheten /dev/pts/1 med crw-rw-rw- rättigheter). Problemet förekommer i screen-versioner 4.x och 5.x.
• CVE-2025-46803 — standardinställning av rättigheter 0622 för PTY-enheten, vilket tillåter skrivåtkomst av alla användare. Problemet förekommer endast i version 5.0 av screen.
• CVE-2025-46804 — läckage av information om existensen av filer och kataloger i stängda kataloger (när du angiver katalogen för sockets, med hjälp av miljövariabeln SCREENDIR, ger verktyget olika felmeddelanden som avslöjar existensen av filer och kataloger med detta namn). Problemet finns i versionerna 4.x och 5.x av screen.
• CVE-2025-46805 — ett race conditions vid sändning av SIGCONT och SIGHUP signaler, vilket leder till en denial-of-service. Problemet finns i versionerna 4.x och 5.x av screen.
• Felaktig användning av funktionen strncpy (ersätter strcpy med strncpy utan att ta hänsyn till skillnaden i hantering av nolltecken "\0"), vilket leder till en krasch vid körning av specialformulerade kommandon. Problemet förekommer endast i version 5.0 av screen.

Sårbarheterna upptäcktes under en granskning av kodbasen för GNU screen, utförd av teamet som ansvarar för säkerheten i SUSE Linux-distributionen. Informationen om sårbarheterna skickades till utvecklarna av screen den 7 februari, men under de tilldelade 90 dagarna kunde de inte förbereda korrigeringar för alla sårbarheter, vilket tvingade SUSE:s anställda att förbereda vissa patchar själva. Enligt forskarna som genomförde granskningen har de nuvarande underhållarna av GNU screen inte tillräcklig kännedom om kodbasen för projektet och kan inte helt förstå de identifierade säkerhetsproblemen.

Källa: opennet.ru