Vulnerabilidade de 12 anos permite escalonar privilégios de root

27/01/2022 mindsecblog Notícias 1

Vulnerabilidade de 12 anos permite escalonar privilégios de root. Vulnerabilidade de escalonamento de privilégio local encontrada no programa ‘polkit’ encontrado em todas as variantes do Linux.

Os pesquisadores da Qualys descreveram uma vulnerabilidade que permite que usuários sem privilégios obtenham privilégios totais de root.

Pesquisadores descobriram na terça-feira uma vulnerabilidade de corrupção de memória no PolicyKit (agora conhecido como polkit), um programa raiz Set User ID (SUID) que é instalado por padrão em todas as variantes do Linux – uma vulnerabilidade que eles dizem estar escondida à vista de todos por mais de 12 anos. .

Em uma postagem no blog , os pesquisadores da Qualys disseram que essa vulnerabilidade de escalonamento de privilégios local facilmente explorada (CVE-2021-4034) , apelidada de PwnKit, permite que qualquer usuário sem privilégios obtenha privilégios totais de root em um host vulnerável, explorando a vulnerabilidade em sua configuração padrão.

Os pesquisadores explicaram que o polkit oferece uma maneira organizada para processos não privilegiados se comunicarem com processos privilegiados. Também é possível usar o polkit para executar o comando com privilégios elevados usando o comando pkexec seguido pelo comando que deve ser executado com permissão de root.

As notícias do PwnKit levantaram as sobrancelhas nos níveis mais altos da comunidade de inteligência. Rob Joyce, diretor da Diretoria de Segurança Cibernética da Agência de Segurança Nacional, levantou essas preocupações em um tweet na quarta-feira:

“CVE-2021-4034 em uma ferramenta de sistema chamada Polkit me preocupa. Escalonamento de privilégios fácil e confiável pré-instalado em todas as principais distribuições Linux. Corrija o mais rápido possível ou use a mitigação simples chmod 0755 /usr/bin/pkexec. Existem POCs funcionando na natureza.”

Uma vulnerabilidade de código aberto como essa é um problema para sistemas em nuvem e locais, e ambos precisam ser corrigidos ou mitigados para evitar que sejam explorados, disse Bud Broomhead, CEO da Viakoo. No entanto, em termos de escala de impacto, Broomhead disse que é um problema muito maior (ordem de magnitude maior) para sistemas locais por causa do número deles e de como eles estão dispersos em uma organização. Broomhead disse que a correção de sistemas baseados em nuvem pode ser feita mais rapidamente com menos pessoas.

“Isso é um grande negócio“, disse Broomhead. “Ao contrário de sistemas totalmente proprietários, em que um único fabricante pode emitir um único patch para resolver uma vulnerabilidade, uma única vulnerabilidade de código aberto pode estar presente em vários sistemas, incluindo os proprietários, que exigem que vários fabricantes desenvolvam, testem e distribuam separadamente um patch . Tanto para o fabricante quanto para o usuário final, isso adiciona um enorme tempo e complexidade à implementação de uma correção de segurança para uma vulnerabilidade conhecida.“

John Hammond, pesquisador de segurança sênior da Huntress, acrescentou que esta última vulnerabilidade do Polkit pkexec certamente chamou a atenção dos profissionais de segurança. Hammond disse que o vetor de ataque oferece um método extremamente fácil para escalonamento de privilégios – permitindo que uma conta de usuário com baixo privilégio se torne prontamente o administrador ou conta de superusuário “root”.

“O que é tão preocupante com essa vulnerabilidade e exploração é o quão simples é executá-la; o ataque pode ser encenado em um único script ”, disse Hammond. “Isso adiciona muita pressão à má prática desaprovada de redirecionar o código diretamente para o shell do Linux – algo sugerido por muitos aplicativos diferentes para tornar a instalação mais conveniente.”

Hammond acrescentou que, assim como outra vulnerabilidade de manchete descoberta pela equipe Qualys (um estouro de buffer no utilitário sudo apelidado de ” Baron Samedit “), essa fraqueza está presente em um utilitário Linux praticamente onipresente há mais de uma década. Antes de a Qualys descobrir a falha no polkit, Hammond disse que o próprio vetor de ataque era conhecido e discutido publicamente há vários anos.

“É assustador pensar nesse vetor de ataque sendo usado junto com o exploit Log4shell ”, disse Hammond. “Ao armar um vetor de acesso inicial fácil e um vetor de escalonamento de privilégio fácil, o comprometimento em massa de máquinas Linux pode ser trivial. Talvez se as duas vulnerabilidades fossem descobertas e divulgadas ao mesmo tempo, dezembro de 2021 teria sido muito diferente para o setor de segurança cibernética.”

A Qualsys aconselha os profissionais de segurança a aplicar os patches que os autores do polkit lançaram em sua página do GitLab . A RedHat também divulgou informações sobre o patch em seu site.