Търсене
Close this search box.

Десетилетна грешка в „стената“ на Linux помага да се правят фалшиви SUDO покани и да се крадат пароли

Уязвимостта в командата wall на пакета util-linux, който е част от операционната система Linux, може да позволи на непривилегирован нападател да открадне пароли или да промени клипборда на жертвата.

Проследен като CVE-2024-28085, проблемът със сигурността е наречен WallEscape и присъства във всяка версия на пакета през последните 11 години до издадената вчера версия 2.40.

Въпреки че уязвимостта е интересен пример за това как нападателят може да заблуди потребител, за да даде администраторската си парола, използването ѝ вероятно е ограничено до определени сценарии.

Нападателят трябва да има достъп до Linux сървър, който вече има няколко потребители, свързани едновременно чрез терминала, например в колеж, където студентите могат да се свържат за изпълнение на задача.

Изследователят по сигурността Скайлър Феранте открива WallEscape, който е описан като „неправилно неутрализиране на escape последователности в командата wall“.

Експлоатиране на WallEscape

WallEscape въздейства върху командата „wall“, която обикновено се използва в системите Linux за излъчване на съобщения до терминалите на всички потребители, влезли в една и съща система, например сървър.

Тъй като escape последователностите се филтрират неправилно при обработката на входни данни чрез аргументи от командния ред, непривилегирован потребител може да се възползва от уязвимостта, като използва контролни escape символи, за да създаде фалшив SUDO промпт на терминалите на други потребители и да ги подведе да въведат администраторската си парола.

Проблемът със сигурността може да бъде използван при определени условия. Ferrante обяснява, че експлоатацията е възможна, ако обслужващата програма „mesg“ е активна и командата wall има права за setgid.

Изследователят отбелязва, че и двете условия са налице в Ubuntu 22.04 LTS (Jammy Jellyfish) и Debian 12.5 (Bookworm), но не и в CentOS.

Публикуван е код за доказателство на концепцията за експлойт за WallEscape, за да се демонстрира как нападателят може да се възползва от проблема.

Наред с техническите подробности Феранте включва и сценарии за експлоатация, които могат да доведат до отделни резултати.

Един от примерите описва стъпките за създаване на фалшив sudo подкана за терминал Gnome, за да подведе потребителя да въведе паролата си.

Феранте описва подробно, че това е възможно чрез създаване на фалшив SUDO промпт за Gnome терминал, който да подмами потребителя да въведе чувствителната информация като аргумент от командния ред.

Това изисква някои предпазни мерки, които са възможни, като се използва командата wall за предаване на целта на скрипт, който променя входа в терминала (цвят на преден план, скрива писането, време за сън), така че фалшивият промпт за парола да мине като легитимна заявка.

За да намери паролата, нападателят ще трябва да провери файла /proc/$pid/cmdline за аргументите на командата, които са видими за непривилегированите потребители в множество дистрибуции на Linux.

Друга атака би била да се промени клипбордът на целевия потребител чрез escape последователности. Изследователят подчертава, че този метод не работи с всички терминални емулатори, сред които е и Gnome.

„Тъй като можем да изпращаме ескейп последователности през стената, ако потребителят използва терминал, който поддържа тази ескейп последователност, атакуващият може да промени клипборда на жертвите с произволен текст“, уточнява Феранте.

Изследователят предоставя в доклада за уязвимостта демонстрационния код за поставяне на капана и изпълнение на атаката, а също така обяснява как тя работи и при двата сценария на експлоатация.

Заслужава да се отбележи, че експлоатирането на WallEscape зависи от локален достъп (физически или отдалечен чрез SSH), което ограничава неговата сериозност.

Рискът идва от непривилегировани потребители с достъп до същата система като жертвата в многопотребителски настройки като сървър на организация.

На потребителите се препоръчва да обновят до linux-utils v2.40, за да отстранят уязвимостта. Обикновено актуализацията се предоставя чрез стандартния канал за актуализация на Linux дистрибуцията в мениджъра на пакети, но е възможно да има известно забавяне.

Системните администратори могат незабавно да намалят CVE-2024-28085, като премахнат разрешенията setgid от командата ‘wall’ или като деактивират функционалността за излъчване на съобщения, като използват командата ‘mesg’, за да зададат флага ѝ на ‘n’.

Източник: e-security.bg

Подобни публикации

19 април 2024

Замбия арестува 77 души в операция за киберпрес...

Компанията за фалшиви телефонни центрове извършва онлайн  и други и...
18 април 2024

Платформата за фишинг LabHost е закрита от прав...

LabHost, голяма платформа за фишинг като услуга, е била затворена к...
18 април 2024

Компания за управление на киберриска набра 21 м...

В сряда компанията за риск мениджмънт CyberSaint обяви, че е набрал...
18 април 2024

Болница в Кан с 869 легла и 2100 служителя прет...

Болница „Симон Вейл“ в Кан (CHC-SV) обяви, че във вторн...
18 април 2024

Akira ransomware е събрала 42 млн. долара от ре...

Според съвместна препоръка на ФБР, CISA, Европейския център за кибе...
18 април 2024

Вариант на LockBit 3.0 генерира персонализиран,...

Изследователите на Kaspersky са открили новия вариант, след като са...
18 април 2024

Групата "Sandworm" е основното звено за киберат...

Но дори и да се е фокусирала върху това, сложната група за заплахи ...
Бъдете социални
Още по темата
01/04/2024

Тайна задна врата е открита...

В петък Red Hat публикува „спешно...
20/03/2024

"AcidPour" e насочен към Li...

В дивата природа е открит нов...
08/03/2024

ShellBot разбива SSH сървър...

Ботмрежата, създадена за DDoS, backdooring и...
Последно добавени
19/04/2024

Замбия арестува 77 души в о...

Компанията за фалшиви телефонни центрове извършва...
18/04/2024

Платформата за фишинг LabHo...

LabHost, голяма платформа за фишинг като...
18/04/2024

Компания за управление на к...

В сряда компанията за риск мениджмънт...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!