De Beveiligingsonderzoekers van Qualys hebben een kritieke kwetsbaarheid geïdentificeerd (CVE-2021-3156) in sudo utility, dat is ontworpen om de uitvoering van opdrachten namens andere gebruikers te organiseren.
Kwetsbaarheid staat niet-geverifieerde toegang met root-privileges toe. Het probleem kan door elke gebruiker worden gebruikt, ongeacht de aanwezigheid in de systeembestanden en de aanwezigheid van een vermelding in het bestand / etc / sudoers.
De aanval vereist niet het invoeren van het wachtwoord van de gebruiker, dat wil zeggen, de kwetsbaarheid kan door een externe persoon worden gebruikt om de bevoegdheden op het systeem te verhogen nadat de kwetsbaarheid is gecompromitteerd in een niet-bevoorrecht proces (inclusief degene die zijn gestart met de gebruiker "niemand").
Om naar een kwetsbaarheid op uw systeem te zoeken, voert u eenvoudig het commando "sudoedit -s /" uit en de kwetsbaarheid is aanwezig als een foutmelding die begint met "sudoedit:" wordt weergegeven.
Over kwetsbaarheid
De kwetsbaarheid is sinds juli 2011 verschenen en wordt veroorzaakt door een bufferoverflow bij de afhandeling van regel-escape-tekens in parameters die bedoeld zijn om commando's in shell-modus uit te voeren. De shell-modus wordt ingeschakeld door het specificeren van de "-i" of "-s" argumenten en zorgt ervoor dat het commando niet direct wordt uitgevoerd, maar via een extra shell-aanroep met de "-c" vlag ("sh -c commando»).
Waar het op neerkomt is dat wanneer het hulpprogramma sudo normaal wordt uitgevoerd, het aan de speciale tekens ontsnapt door de opties "-i" en "-s" op te geven, maar wanneer het hulpprogramma sudoedit wordt gestart, worden de parameters niet ontsnapt, aangezien parse_args () De functie stelt de omgevingsvariabele MODE_EDIT in in plaats van MODE_SHELL en reset de waarde van "valid_flags" niet.
Op zijn beurt, niet-escaped tekenoverdracht creëert voorwaarden voor het verschijnen van een andere fout in de controller, die de escape-tekens verwijdert voordat de sudoer-regels worden gecontroleerd.
De handler parseert onjuist de aanwezigheid van een backslash-teken zonder te ontsnappen aan het einde van de regel, neemt het aan dat deze backslash nog een teken ontsnapt en doorgaat met het lezen van gegevens buiten de limiet van de regel, deze kopieert naar de "user_args" -buffer en het overschrijven van geheugengebieden buiten de buffer.
En er wordt vermeld dat wanneer de aanvaller de waarden in de sudoedit-opdrachtregel probeert te manipuleren, de aanvaller de superpositie kan bereiken van een herschrijfbare wachtrij in de gegevens die van invloed is op het verdere verloop van het werk.
Naast het creëren van een exploit vereenvoudigt het het feit dat de aanvaller volledige controle heeft over de grootte van de user_args-buffer, die overeenkomt met de grootte van alle doorgegeven argumenten, en regelt het ook de grootte en inhoud van gegevens die buiten de buffer zijn geschreven met omgevingsvariabelen.
De beveiligingsonderzoekers van Qualys zijn erin geslaagd om drie exploits voor te bereiden, waarvan het werk is gebaseerd op het herschrijven van de inhoud van de structuren sudo_hook_entry, service_user en def_timestampdir:
- Door sudo_hook_entry af te breken zou een binair bestand met de naam "SYSTEMD_BYPASS_USERDB" als root kunnen worden uitgevoerd.
- Het overschrijven van service_user is erin geslaagd om willekeurige code als root uit te voeren.
- Door def_timestampdir te overschrijven, was het mogelijk om de inhoud van de sudo-stack, inclusief omgevingsvariabelen, naar het / etc / passwd-bestand te spoelen en de gebruiker te vervangen door rootrechten.
De onderzoekers hebben aangetoond dat exploits werken om volledige rootrechten te krijgen op Ubuntu 20.04, Debian 10 en Fedora 33.
Kwetsbaarheid kan worden misbruikt op andere besturingssystemen en distributies, maar de verificatie van de onderzoekers was beperkt tot Ubuntu, Debian en Fedora, en er wordt vermeld dat alle sudo-versies 1.8.2 tot 1.8.31p2 en 1.9.0 tot 1.9.5p1 in de standaardinstellingen worden beïnvloed. Voorgestelde oplossing in sudo 1.9.5p2.
De onderzoekers hebben ontwikkelaars van tevoren op de hoogte gesteld distributeurs die al pakketupdates op een gecoördineerde manier hebben uitgebracht: Debian, RHEL, Fedor, Ubuntu, SUSE / openSUSE, Arch Linux, Slackware, Gentoo en FreeBSD.
Eindelijk als u er meer over wilt weten over de kwetsbaarheid kunt u de details bekijken In de volgende link.