0
0
A Microsoft descobriu duas vulnerabilidades de segurança (CVE-2022-29799, CVE-2022-29800) no daemon de despachante em rede que pode ser explorado pelos atacantes para ganhar raízes em muitos pontos finais do Linux, permitindo que eles implantem backdoors, malware, ransomware ou realizem outras ações maliciosas.
Sobre as vulnerabilidades (CVE-2022-29799, CVE-2022-29800)
CVE-2022-29799 é um bug transversal do diretório; CVE-2022-29800 é uma condição de corrida de tempo de verificação de tempo de uso (TOCTOU) que poderia permitir que um invasor substitua scripts que o despachante em rede (a unidade sistemadora vulnerável) acredita ser propriedade por raiz para aqueles que não são. Adicione a isso uma condição de corrida de symlink que também foi descoberta simultaneamente pelos pesquisadores, e você tem um caminho aberto para alcançar a elevação do privilégio.
Em seus experimentos, os pesquisadores conseguiram vencer a condição de corrida TOCTOU em três tentativas:
Eles também fizeram a exploração entregar um backdoor raiz, para permitir capacidades permanentes de raiz.
Jonathan Bar Ou da Equipe de Pesquisa do Microsoft 365 Defender detalhou sua descoberta neste post no blog, e disse que Clayton Craft – o mantenedor do despachante em rede – os corrigiu no início deste mês.
A questão agora permanece: as distribuições Linux usam o despachante de rede vulnerável.
Bar Or diz que sua exploração só é eficaz se puder usar o nome de barramento “org.freedesktop.network1” – e isso é possível em vários ambientes.
Ele menciona o Linux Mint, que é baseado no Ubuntu (que, por sua vez, é baseado no Debian), e uma pesquisa rápida revela que o despachante em rede é embalado nesses distros – embora possivelmente não instalado por padrão em todas as instalações.
Para concluir: Embora o perigo de ampla exploração dos bugs nimbuspwn pareça ser muito menor do que o das falhas do Dirty Pipe e PwnKit recentemente descobertas, os usuários e administradores do Linux devem estar atentos aos patches e implementá-los se/quando estiverem disponíveis.
É verdade que vulnerabilidades que permitem a elevação local do privilégio são menos críticas que aquelas que permitem a execução de código remoto não autenticado, pois os atacantes devem primeiro encontrar uma maneira de obter acesso ao sistema de destino antes mesmo de pensar em começar a explorá-los. Ainda assim, eles são regularmente aproveitados pelos atacantes – O Dirty Pipe (CVE-2022-0847) foi, por exemplo, adicionado ao Catálogo de Vulnerabilidades Exploradas Conhecidas da CISA na segunda-feira.
FONTE: HELPNET SECURITY