Ailagbara ni sudo ti o fun laaye igbega anfani nigba lilo awọn ofin kan pato

Ninu ohun elo Sudo, ti a lo lati ṣeto ipaniyan ti awọn aṣẹ fun awọn olumulo miiran, mọ ailagbara (CVE-2019-14287), eyiti o fun ọ laaye lati ṣiṣẹ awọn aṣẹ pẹlu awọn ẹtọ gbongbo, ti awọn ofin ba wa ninu awọn eto sudoers ninu eyiti o wa ninu apakan ayẹwo idanimọ olumulo lẹhin gbigba Koko “GBOGBO” idinamọ ti o han gbangba ti nṣiṣẹ pẹlu awọn ẹtọ gbongbo (“... (GBOGBO,! root) ..."). Ailagbara naa ko han ni awọn atunto aiyipada ni awọn pinpin.

Ti awọn sudoers ba wulo, ṣugbọn o ṣọwọn pupọ ni iṣe, awọn ofin ti o gba laaye ipaniyan ti aṣẹ kan labẹ UID ti olumulo eyikeyi miiran yatọ si gbongbo, ikọlu ti o ni aṣẹ lati ṣiṣẹ aṣẹ yii le fori ihamọ ti iṣeto ati ṣiṣe aṣẹ pẹlu root awọn ẹtọ. Lati fori aropin naa, kan gbiyanju lati ṣiṣẹ aṣẹ ti a pato ninu awọn eto pẹlu UID “-1” tabi “4294967295”, eyiti yoo yorisi ipaniyan rẹ pẹlu UID 0.

Fun apẹẹrẹ, ti ofin ba wa ninu awọn eto ti o fun olumulo eyikeyi ni ẹtọ lati ṣiṣẹ eto / usr/bin/id labẹ eyikeyi UID:

myhost GBOGBO = (GBOGBO,! root) /usr/bin/id

tabi aṣayan ti o fun laaye ipaniyan nikan fun olumulo olumulo kan pato:

myhost Bob = (GBOGBO,! root) /usr/bin/id

Olumulo naa le ṣiṣẹ “sudo -u '#-1' id” ati / usr/bin/id IwUlO yoo ṣe ifilọlẹ bi gbongbo, laibikita idinamọ ti o han gbangba ninu awọn eto. Iṣoro naa ṣẹlẹ nipasẹ wiwo awọn iye pataki “-1” tabi “4294967295”, eyiti ko yorisi iyipada ninu UID, ṣugbọn nitori sudo funrararẹ ti nṣiṣẹ tẹlẹ bi gbongbo, laisi iyipada UID, aṣẹ ibi-afẹde naa tun jẹ se igbekale pẹlu root awọn ẹtọ.

Ni SUSE ati awọn pinpin openSUSE, laisi pato “NOPASSWD” ninu ofin, ailagbara kan wa ko exploitable, niwọn bi o ti jẹ pe ninu awọn sudoers ipo “Awọn aiyipada targetpw” ti ṣiṣẹ nipasẹ aiyipada, eyiti o ṣayẹwo UID lodi si ibi ipamọ data ọrọ igbaniwọle ti o jẹ ki o tẹ ọrọ igbaniwọle olumulo ti ibi-afẹde sii. Fun iru awọn ọna ṣiṣe, ikọlu le ṣee ṣe ti awọn ofin fọọmu ba wa:

myhost GBOGBO = (GBOGBO,! root) NOPASSWD: /usr/bin/id

Ọrọ ti o wa titi ni idasilẹ Sudo 1.8.28. Atunṣe tun wa ni fọọmu naa alemo. Ninu awọn ohun elo pinpin, ailagbara naa ti wa tẹlẹ ninu Debian, Arch Linux, SUSE/ṣiiSUSE, Ubuntu, Gentoo и FreeBSD. Ni akoko kikọ, iṣoro naa wa ni aibikita ninu RHEL и Fedora. Ailagbara naa jẹ idanimọ nipasẹ awọn oniwadi aabo lati ọdọ Apple.

orisun: opennet.ru