Sårbarhet i pakethanteraren Guix som möjliggör fjärrkörning av kod i systemet

Sårbarheter har identifierats i pakethanteraren Guix (CVE har inte tilldelats) i implementationen av det interna kommandot "guix substitute", som automatiskt anropas av bakgrundsprocessen guix-daemon vid installation av paket. Kommandot används för att hämta redan sammanställda binärpaket från externa servrar och verifiera deras integritet med digital signatur. Den mest allvarliga sårbarheten möjliggör fjärrkörning av kod på användarens system med de rättigheter som bakgrundsprocessen guix-daemon körs med.

Problemet berör alla konfigurationer med processen guix-daemon, oavsett om den körs med root-rättigheter eller av en icke-privilegierad användare. För att utnyttja sårbarheten räcker det med att försöka hämta färdiga binärpaket från servern, som kontrolleras av angriparen. Den skadliga server behöver inte nödvändigtvis väljas eller anges uttryckligen av användarens inställningar — den kan definieras med alternativet “—discover”, vilket möjliggör serverbyte under en MITM-attack. I konfigurationer där guix-daemon körs med höga privilegier kan en lokal användare utföra en attack om de kan ansluta till bakgrundsprocessen via Unix-socket (som standard tillgänglig för alla användare).

Sårbarheten finns i hanteraren "restore-file", som används för att packa upp vid nedladdning av paketet, utan att vänta på att det är helt nedladdat och verifierat med digital signatur. Problemet orsakas av bristen på kontroll av tecknen ".", "\/" och ".." i filvägarna i arkivet. Genom att substituera arkivet med ogiltiga filnamn kan en angripare åstadkomma skrivning av en godtycklig fil till valfri del av filsystemet, beroende på de rättigheter som bakgrundsprocessen guix-daemon körs med.

För att organisera körningen av sin egen kod i systemet kan man till exempel lägga till ett autostart-skript, som "~\/ .bashrc" eller "~\/ .profile", eller ändra filen "~\/ .ssh\/authorized_keys" med SSH-nycklar. Om guix-daemon körs under användaren root i ett flermiljösystem kan angriparen skriva över filen med lösenord eller systemskript.

Möjligheten att skapa falska servrar för spridning av skadliga paket orsakades av att proceduren för att ladda ner metadata (narinfo) om tillgängliga binärpaket (fetch-narinfos) inte kontrollerade serverns certifikat, utan förlitade sig på att huvuddelen av metadata signerades med en digital signatur. Det visade sig att signaturen inte omfattade URL:en för nedladdning av paketet, vilket medgav att den kunde bytas ut utan att bryta mot metadata-integriteten. I slutändan skulle det falska paketet ha avvisats på grund av att det inte passerade kontrollen av dess innehåll enligt hash värdet, som var signerat med den digitala signaturen, men denna kontroll genomfördes efter avpackningssteget, där problemet med specialtecken i filnamnen uppstod.

Förutom kommandot "guix substitute" är den sårbara hanteraren "restore-file" involverad i kommandona "guix offload", "guix archive —extract" och "guix challenge", genom vilka sårbarheten också kan utnyttjas. Som en tillfällig lösning för att blockera sårbarheten föreslås det att uttryckligen ange alternativet "—no-substitutes" i alla guix-kommandon. Åtgärden av sårbarheten har antagits i kodbasen för Guix. Användare rekommenderas att omedelbart installera de uppdateringar som utvecklarna har skapat för guix och guix-daemon.

Förutom det nämnda problemet har tre andra sårbarheter åtgärdats i Guix:

• Möjligheten att byta ut binärpaket på grund av avsaknaden av en kontroll av överensstämmelsen mellan det begärda paketet och de återlämnade metadata i hanteraren fetch-narinfos. Sårbarheten kan användas för att leverera en föråldrad version av det begärda paketet, som innehåller säkerhetsbrister.
• Bestämning av innehållet i den första raden av godtyckliga filer i systemet genom att en lokal användare skickar en begäran med URI "file:///" ("—substitute-urls file:///etc/shadow"). Om guix-daemon körs med root-rättigheter, kommer den att läsa den begärda filen, fastställa att den inte är metadata och ge ett felmeddelande där den rad som inte kunde tolkas nämns.
• Att ange ett särskilt formaterat namn på det externa arkivet ("..\/..\/..\/..\/newfile") när man utför kommandona "guix pull" och "guix time-machine" gör det möjligt att skriva data med information om commiten till en valfri befintlig fil i filsystemet, om dess innehåll liknar en lista av rader i språk som Scheme. Sårbarheten kan användas för DoS-attacker, men det är inte uteslutet att man genom listiga manipulationer med pseudo-FS /proc kan uppnå mer farliga manipulationer av systemet.

Källa: opennet.ru