Linux-käyttäjät saivat tiistaina suuren annoksen huonoja uutisia – Polkit-nimisen järjestelmätyökalun 12 vuotta vanha haavoittuvuus antaa hyökkääjille esteettömät pääkäyttäjän oikeudet koneissa, jotka käyttävät useimpia avoimen lähdekoodin käyttöjärjestelmän jakeluja.
Aiemmin PolicyKitiksi kutsuttu Polkit hallinnoi järjestelmän laajuisia käyttöoikeuksia Unix-tyyppisissä käyttöjärjestelmissä. Se tarjoaa mekanismin etuoikeutetuille prosesseille turvallisesti vuorovaikutuksessa etuoikeutettujen prosessien kanssa. Sen avulla käyttäjät voivat myös suorittaa komentoja korkeilla oikeuksilla käyttämällä pkexec-nimistä komponenttia, jota seuraa komento.
Triviaali hyödynnettävä ja 100-prosenttisen luotettava
Useimpien käyttöjärjestelmien tapaan Linux tarjoaa käyttöoikeustasojen hierarkian, joka määrittää, milloin ja mitkä sovellukset tai käyttäjät voivat olla vuorovaikutuksessa arkaluonteisten järjestelmäresurssien kanssa. Suunnittelun tarkoituksena on rajoittaa vahinkoja, joita voi tapahtua, jos käyttäjän ei luoteta verkon hallinnolliseen hallintaan tai jos sovellus on hakkeroitu tai haitallinen.
Vuodesta 2009 pkexec on sisältänyt muistin vioittumishaavoittuvuuden, jota ihmiset, joilla on rajoitettu hallinta haavoittuvassa asemassa olevaan koneeseen, voivat hyödyntää levittääkseen oikeuksia aina juureen asti. Virheen hyödyntäminen on triviaalia ja joidenkin mielestä 100-prosenttisen luotettavaa. Hyökkääjät, joilla on jo haavoittuvainen kone, voivat käyttää haavoittuvuutta väärin varmistaakseen, että haitallinen hyötykuorma tai komento suoritetaan korkeimmilla käytettävissä olevilla järjestelmäoikeuksilla. PwnKit, kuten tutkijat kutsuvat haavoittuvuutta, on myös hyödynnettävissä, vaikka itse Polkit-daemon ei olisi käynnissä.
Turvallisuusyritys Qualysin tutkijat löysivät PwnKitin marraskuussa, ja se julkistettiin tiistaina sen jälkeen, kun se oli korjattu useimmissa Linux-jakeluissa. PwnKit on jäljitetty nimellä CVE-2021-4034.
Sähköpostissa Qualys Vulnerability Threat Researchin johtaja Bharat Jogi kirjoitti:
Jogi sanoi, että hyväksikäytöt edellyttävät paikallista todennettua pääsyä haavoittuvaan koneeseen, eikä niitä voida suorittaa etäyhteyden kautta ilman tällaista todennusta. Tässä on video hyväksikäytöstä toiminnassa.
Toistaiseksi Qualys ei julkaise proof-of-concept-hyötykoodia, koska se on huolissaan siitä, että koodi osoittautuu enemmän siunaukseksi mustille hatuille kuin puolustajille. Toinen lähde on julkaissut PoC-koodin, ja tutkijat sanoivat, että on vain ajan kysymys, milloin PwnKitiä hyödynnetään luonnossa.
"Odotamme, että hyväksikäyttö tulee julkiseksi pian ja että hyökkääjät alkavat hyödyntää sitä – tämä on erityisen vaarallista kaikille monen käyttäjän järjestelmille, jotka mahdollistavat shell-pääsyn käyttäjille", Bojan Zdrnja, SANS:n tunkeutuvuuden testaaja ja käsittelijä. , kirjoitti. Tutkija kertoi luoneensa onnistuneesti uudelleen hyväksikäytön, joka toimi koneessa, jossa oli Ubuntu 20.04.
Quolysin tutkijat eivät ole ainoita, jotka törmäävät tähän haavoittuvuuteen tai ainakin hyvin samankaltaiseen virheeseen. Vuonna 2013 tutkija Ryan Mallon ilmoitti julkisesti pitkälti samasta bugista ja jopa kirjoitti korjaustiedoston, vaikka hän ei lopulta löytänyt tapaa hyödyntää haavoittuvuutta. Ja viime kesäkuussa Githubin tietoturvatutkija Kevin Backhouse ilmoitti myös etuoikeuksien eskalaatiohaavoittuvuudesta. Se sai seurantatunnuksen CVE-2021-3560 ja korjaustiedoston suurilta Linux-jakelijoilta.
Suuret Linux-jakelijat ovat julkaisseet korjaustiedostoja haavoittuvuuden varalta, ja tietoturva-ammattilaiset kehottavat järjestelmänvalvojia painokkaasti asettamaan korjaustiedoston asentamisen tärkeysjärjestykseen. Niiden, jotka eivät pysty korjaamaan heti, tulisi käyttää chmod 0755 /usr/bin/pkexec -komentoa SUID-bitin poistamiseen pkexecistä, mikä estää sitä toimimasta pääkäyttäjänä, kun käyttäjä, jolla ei ole etuoikeuksia. . Debianin, Ubuntun ja Red Hatin ohjeet ovat täällä, täällä ja täällä.
Ne, jotka haluavat tietää, onko haavoittuvuutta hyödynnetty heidän järjestelmissään, voivat tarkistaa lokimerkinnät, joissa lukee joko "SHELL-muuttujan arvoa ei löytynyt /etc/shells-tiedostosta" tai "Ympäristömuuttujan [ arvo …] sisältää epäilyttävää sisältöä." Qualys kuitenkin varoitti ihmisiä siitä, että PwnKit on myös hyödynnettävissä jättämättä jälkiä.
