Sårbarhet i systemd-coredump som möjliggör identifiering av minnesinnehållet i suid-program

I komponenten systemd-coredump, som hanterar kärn-filer som genereras efter att processer kraschar, har en sårbarhet identifierats (CVE-2022-4415) som tillåter en oprivilegierad lokal användare att bestämma innehållet i minnet av privilegierade processer som körs med suid root-flaggan. Problemet i standardkonfigurationen har bekräftats i distributioner som openSUSE, Arch, Debian, Fedora och SLES.

Sårbarheten orsakas av bristen på korrekt hantering av sysctl-parametern fs.suid_dumpable i systemd-coredump, vilket med det standardvärde på 2 som är inställt tillåter generering av kärn-dumpar för processer med suid-flaggan. Det förutsätts att kärnans kärn-filer för suid-processer ska ha åtkomsträttigheter som tillåter läsning endast av användaren root. Systemd-coredump-verktyget, som kallas av kärnan för att spara kärn-filer, sparar kärn-filen under root-identifieraren, men ger dessutom åtkomst till kärn-filer baserat på ACL, som tillåter läsning baserat på identifieraren för den ursprungliga processen.

Den angivna egenskapen gör det möjligt att ladda kärn-filer oavsett att programmet kan byta användaridentifierare och köras med höga privilegier. Attacken går ut på att användaren kan starta ett suid-program och skicka det en SIGSEGV-signal, för att sedan ladda innehållet i kärn-filen som inkluderar en minnessnapshots av processen vid krasch.

Till exempel kan en användare starta ‘/usr/bin/su’ och i en annan terminal avsluta dess utförande med kommandot ‘kill -s SIGSEGV `pidof su`’, varefter systemd-coredump kommer att spara kärn-filen i katalogen /var/lib/systemd/coredump, och ställa in en ACL som tillåter läsning av den aktuella användaren. Eftersom suid-verktyget ‘su’ läser innehållet i /etc/shadow, kan angriparen få tillgång till hash-information för alla användares lösenord i systemet. Verktyget sudo är inte sårbart för attacken, eftersom det förhindrar generation av kärn-filer via ulimit.

Enligt utvecklarna av systemd visar sårbarheten sig från version 247 (november 2020), men enligt forskaren som upptäckte problemet påverkas även version 246. Sårbarheten uppstår om systemd har byggts med biblioteket libacl (som standard i alla populära distributioner). En fix finns för närvarande tillgänglig som en patch. För att följa uppdateringarna i distributionerna kan du besöka följande sidor: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Gentoo, Arch. Som en tillfällig skyddsåtgärd kan du ställa in sysctl fs.suid_dumpable på värdet 0, som inaktiverar överföring av dumpningar till systemd-coredump.

Källa: opennet.ru