[ad_1]
Um novo conjunto de vulnerabilidades rastreadas coletivamente como Nimbuspwn pode permitir que invasores locais aumentem os privilégios em sistemas Linux para implantar malware, desde backdoors a ransomware.
Os pesquisadores de segurança da Microsoft revelaram os problemas em um relatório hoje, observando que eles podem ser encadeados para obter privilégios de root em um sistema vulnerável.
Rastreados como CVE-2022-29799 e CVE-2022-29800, os problemas de segurança do Nimbuspwn foram descobertos em despachante de redeum componente que envia mudanças de estado de conexão em máquinas Linux.
A descoberta das vulnerabilidades começou com “ouvir mensagens no barramento do sistema”, o que levou os pesquisadores a revisar o fluxo de código para despachante de rede.
As falhas de segurança do Nimbuspwn dizem respeito à travessia de diretório, corrida de links simbólicos e tempo de verificação, tempo de uso (TOCTOU) problemas de condição de corrida, diz o pesquisador da Microsoft Jonathan Bar Or no relatório.
Uma observação que despertou interesse foi que a despachante de rede mal estava sendo executado no momento da inicialização com privilégios de root no sistema.
O pesquisador notou que o daemon usava um método chamado “_run_hooks_for_state ” para descobrir e executar scripts com base no estado da rede detectada.
A lógica implementada por “_Run_hooks_for_state” inclui o retorno de arquivos de script executáveis pertencentes ao usuário root e ao grupo root encontrados no diretório “/etc/networkd-dispatcher/.d”.
Execute cada script no local acima usando o processo chamado thread.Popen enquanto fornece variáveis de ambiente personalizadas.
O relatório da Microsoft explica que “_run_hooks_for_state ” tem vários problemas de segurança:
- Verificação de diretório (CVE-2022-29799) – Nenhuma das funções no fluxo limpa OperationalState ou AdministrationState. Os estados são usados para construir o caminho do script, então um estado pode conter padrões de passagem de diretório (por exemplo, “../../”) para escapar do diretório base “/etc/networkd-dispatcher”.
- Corrida de links simbólicos: descoberta de script e thread. Abra os links simbólicos a seguir.
- Condição de corrida Time-of-check-time-of-use (TOCTOU) (CVE-2022-29800): Há um certo tempo entre a descoberta dos scripts e sua execução. Um invasor pode abusar dessa vulnerabilidade para substituir scripts que o networkd-dispatcher acha que são de propriedade do root por scripts que não são.
Um invasor com privilégios baixos no sistema pode encadear as vulnerabilidades acima para escalar as permissões de nível raiz enviando um sinal arbitrário.
Uma visão geral das etapas para uma exploração bem-sucedida é capturada na imagem abaixo, que abrange três estágios do ataque:
Bar Or ressalta que vencer a condição de corrida TOCTOU requer plantar vários arquivos. Em seu experimento para implementar um exploit personalizado, o sucesso foi registrado após três tentativas.
É possível explorar com sucesso o Nimbuspwn quando o código de exploração pode possuir um nome de barramento sob um serviço ou processo privilegiado.
O pesquisador diz que há muitos ambientes onde isso é possível, incluindo o Linux Mint, onde “o serviço systemd-networkd normalmente possui o ‘org.freedesktop.Network1’ [used in the research] O nome do barramento não inicia na inicialização por padrão.
Além disso, Bar Or encontrou “processos adicionais em execução como o usuário systemd-network” que executam código arbitrário de locais graváveis em todo o mundo: por exemplo, vários plugins gpgv (que são iniciados quando o apt-get é instalado ou atualizado), o Erlang Port Mapper Daemon (epmd) que permite a execução de código arbitrário em alguns cenários.
Clayton Craft, o mantenedor do nNa rede-expedidor implementou as atualizações necessárias que abordam as vulnerabilidades do Nimbuspwn.
Os usuários do Linux são aconselhados a corrigir seus sistemas assim que as correções estiverem disponíveis para seu sistema operacional.
[ad_2]
