I I ricercatori di sicurezza di Qualys hanno identificato una vulnerabilità critica (CVE-2021-3156) nell'utilità sudo, progettato per organizzare l'esecuzione di comandi per conto di altri utenti.
Vulnerabilità consente l'accesso non autenticato con privilegi di root. Il problema può essere utilizzato da qualsiasi utente, indipendentemente dalla presenza nei gruppi di sistema e dalla presenza di una voce nel file / etc / sudoers.
L'attacco non richiede l'inserimento della password dell'utente, ovvero, la vulnerabilità può essere utilizzata da una persona esterna per elevare i privilegi sul sistema dopo che la vulnerabilità è stata compromessa in un processo non privilegiato (compresi quelli avviati con l'utente "nessuno").
Per cercare una vulnerabilità sul tuo sistema, esegui semplicemente il comando "sudoedit -s /" e la vulnerabilità è presente se viene visualizzato un messaggio di errore che inizia con "sudoedit:".
A proposito di vulnerabilità
La vulnerabilità è comparsa da luglio 2011 ed è causata da un buffer overflow nella gestione dei caratteri di escape di riga nei parametri destinati a eseguire comandi in modalità shell. La modalità shell viene abilitata specificando gli argomenti "-i" o "-s" e fa sì che il comando non venga eseguito direttamente, ma tramite una chiamata di shell aggiuntiva con il flag "-c" ("sh -c comando»).
La linea di fondo è che quando l'utilità sudo viene eseguita normalmente, sfugge ai caratteri speciali specificando le opzioni "-i" e "-s", ma quando l'utilità sudoedit viene avviata, i parametri non vengono sottoposti a escape, come parse_args () La funzione imposta la variabile d'ambiente MODE_EDIT invece di MODE_SHELL e non reimposta il valore di "valid_flags".
A sua volta, la trasmissione di caratteri senza escape crea le condizioni per la comparsa di un altro errore nel controller, che rimuove i caratteri di escape prima di controllare le regole sudoer.
Il gestore analizza in modo errato la presenza di un carattere barra rovesciata senza fare l'escape alla fine della riga, considera che questa barra rovesciata sfugge di un altro carattere e continua a leggere i dati oltre il limite della riga, copiandoli nel buffer "user_args" e sovrascrivendo le aree di memoria esterne al buffer.
E si dice che quando si tenta di manipolare i valori nella riga di comando sudoedit, l'attaccante può ottenere la sovrapposizione di una coda riscrivibile nei dati che influisce sul successivo corso del lavoro.
Oltre a creare un exploit, semplifica il fatto che l'attaccante ha il controllo completo sulla dimensione del buffer user_args, che corrisponde alla dimensione di tutti gli argomenti passati, e controlla anche la dimensione e il contenuto dei dati scritti al di fuori del buffer utilizzando variabili ambientali.
I ricercatori di sicurezza di Qualys sono riusciti a preparare tre exploit, il cui lavoro si basa sulla riscrittura del contenuto delle strutture sudo_hook_entry, service_user e def_timestampdir:
- Abortendo sudo_hook_entry un binario chiamato "SYSTEMD_BYPASS_USERDB" potrebbe essere eseguito come root.
- L'override di service_user è riuscito a eseguire codice arbitrario come root.
- Sovrascrivendo def_timestampdir, è stato possibile scaricare il contenuto dello stack sudo, comprese le variabili di ambiente, nel file / etc / passwd e ottenere la sostituzione dell'utente con i privilegi di root.
ricercatori hanno dimostrato che gli exploit funzionano per ottenere pieni privilegi di root su Ubuntu 20.04, Debian 10 e Fedora 33.
Vulnerabilità può essere sfruttato su altri sistemi operativi e distribuzioni, ma la verifica dei ricercatori era limitata a Ubuntu, Debian e Fedora, inoltre si dice che tutte le versioni di sudo da 1.8.2 a 1.8.31p2 e da 1.9.0 a 1.9.5p1 nelle impostazioni predefinite sono interessate. Soluzione suggerita in sudo 1.9.5p2.
ricercatori hanno informato gli sviluppatori in anticipo distributori che hanno già rilasciato aggiornamenti dei pacchetti in modo coordinato: Debian, RHEL, Fedor, Ubuntu, SUSE / openSUSE, Arch Linux, Slackware, Gentoo e FreeBSD.
Infine se sei interessato a saperne di più sulla vulnerabilità, puoi controllare i dettagli nel seguente link