搜索

[28941] 2021-05-16_CVE-2021-27075：MicrosoftAzure漏洞允许特权升级和私有数据泄漏

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-05-16_CVE-2021-27075：MicrosoftAzure漏洞允许特权升级和私有数据泄漏 C V E - 2 0 2 1 - 2 7 0 7 5 ： M i c r o s o f t   A z u r e 漏 洞 允 许 特 权 升 级 和 私 有 数 据 泄 漏 P a u l   L i t v a k   O t s 安 全   2 0 2 1 - 0 5 - 1 6 在 本 文 中 ， 我 将 解 释 M i c r o s o f t   A z u r e 虚 拟 机 （ V M ） 扩 展 的   工 作 方 式 ， 以 及 我 们 如 何 在 扩 展 机 制 中 发 现 影 响 A z u r e   V M   L i n u x 系 统 的 致 命 漏 洞 。 作 为 负 责 任 的 披 露 政 策 的 一 部 分 ， 我 们 已 将 该 漏 洞 报 告 给 了 M i c r o s o f t 安 全 响 应 中 心 （ M S R C ） 。 他 们 很 快 打 了 补 丁 ， 并 将 其 分 配 给 C V E - 2 0 2 1 - 2 7 0 7 5 。 此 漏 洞 将 允 许 没 有 特 权 的 用 户 泄 漏 任 何 A z u r e   V M 扩 展 的 私 有 数 据 。 与 V M A c c e s s 扩 展 的 设 计 （ 用 于 帮 助 系 统 管 理 员 的 正 式 A z u r e 扩 展 ） 配 合 使 用 ， 我 们 将 演 示 如 何 将 其 用 于 实 现 特 权 升 级   和 可 能 的 横 向 移 动 。 概 念 验 证 A z u r e   V M 扩 展 扩 展 A z u r e   V M 为 开 发 人 员 和 管 理 员 提 供 了 一 个 集 成 的 插 件 系 统 ， 以 将 其 他 组 件 安 装 到 他 们 的 计 算 机 上 。 通 过 此 机 制 既 可 以 提 供 第 一 方 （ 例 如 M i c r o s o f t   A z u r e   D i a g n o s t i c s 和 M i c r o s o f t   A z u r e   N e t w o r k   W a t c h e r ） ， 也 可 以 提 供 第 三 方 应 用 程 序 （ 例 如 D a t a d o g   A g e n t ） 。 为 了 管 理 扩 展 安 装 并 保 持 最 新 状 态 ， 系 统 上 安 装 了 M i c r o s o f t   A z u r e   G u e s t   A g e n t 。 该 组 件 是 开 源 的 ， 并 托 管 在 G i t H u b 上 。 该 代 理 以 及 A z u r e 扩 展 安 装 在 /   v a r   /   l i b   /   w a a g e n t 中 。 非 r o o t 用 户 无 法 访 问 此 目 录 ， 因 为 该 目 录 包 含 与 扩 展 相 关 的 机 密 。 扩 展 程 序 安 装 在 该 目 录 中 自 己 的 子 目 录 中 ， 例 如 ： 许 多 共 享 配 置 都 位 于 根 扩 展 目 录 /   v a r   /   l i b   /   w a a g e n t 中 。 这 是 目 录 布 局 的 示 例 ： / v a r / l i b / w a a g e n t / M i c r o s o f t . A z u r e . N e t w o r k W a t c h e r . N e t w o r k W a t c h e r A g e n t L i n u x - 1 . 4 . 1 5 8 7 . 1
/   v a r   /   l i b   /   w a a g e n t 目 录 结 构 将 扩 展 添 加 到 V M 后 ， 扩 展 的 配 置 文 件 将 在 A z u r e   V M 管 理 器 （ 也 称 为 结 构 控 制 器 ） 中 在 后 台 更 新 。 W A A g e n t 不 断 轮 询 该 文 件 的 结 构 控 制 器 ， 更 新 后 ， 便 下 载 并 部 署 了 扩 展 名 。 在 M i c r o s o f t   A z u r e 云 中 ， W A A g e n t 与 “ 线 服 务 器 ” （ 属 于 光 纤 通 道 控 制 器 的 H T T P 服 务 ） 进 行 通 信 。 W A A g e n t 通 过 访 问 特 殊 I P 地 址 1 6 8 . 6 3 . 1 2 9 . 1 6 与 F a b r i c   C o n t r o l l e r 通 信 。 通 过 一 些 测 试 ， 我 们 发 现 此 终 结 点 与 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 相 同 ， 即 众 所 周 知 的 A z u r e 实 例 元 数 据 服 务   I P 地 址 。 W A A g e n t 通 过 解 析 “   G o a l S t a t e ” 来 接 收 扩 展 配 置 U R L 。 G o a l S t a t e 端 点 请 求 响 应 如 下 所 示 ： G o a l S t a t e 端 点 响 应 G o a l S t a t e 包 含 适 用 于 W i r e   S e r v e r 的 所 有 相 关 配 置 的 U R L 。 使 用 G o a l S t a t e ， 我 们 可 以   自 己 查 询 E x t e n s i o n s C o n f i g 文 件 ：
E x t e n s i o n s C o n f i g 端 点 请 求 这 是 L i n u x D i a g n o s t i c 扩 展 配 置 外 观 的 示 例 ： E x t e n s i o n s C o n f i g 端 点 响 应 所 述 p r o t e c t e d S e t t i n g s 字 段 保 存 敏 感 扩 展 配 置 ， 如 私 钥 和 另 外 用 的 加 密 方 案 的 保 护 。 该 p r o t e c t e d S e t t i n g s C e r t T h u m b p r i n t   字 段 保 存 用 于 解 密 p r o t e c t e d S e t t i n g s 关 键 的 文 件 名 。 该 密 钥 存 储 在 其 证 书 存 储 在 E x t e n s i o n C o n f i g 文 件 不 提 供 私 钥 和 证 书 对 。 那 么 ， 如 何 将 它 们 部 署 到 服 务 器 ？ 对 于 此 部 署 ， 将 使 用 “ 证 书 ” 端 点 。 在 对 W A A g e n t 与 W i r e   S e r v e r 通 信 进 行 反 向 工 程 之 后 ， 我 们 观 察 到 C e r t i f i c a t e s 终 结 点 需 要 一 个 “ 传 输 ” 证 书 ， 该 证 书 用 于 提 供 F 5 4 2 … 扩 展 密 钥 ： / v a r / l i b / w a a g e n t / F 5 4 2 6 5 F 3 8 F 8 D 1 6 C 3 5 C 0 E 1 F D 3 1 9 0 8 8 2 8 3 1 A 6 C 4 3 8 4 . p r v / v a r / l i b / w a a g e n t / F 5 4 2 6 5 F 3 8 F 8 D 1 6 C 3 5 C 0 E 1 F D 3 1 9 0 8 8 2 8 3 1 A 6 C 4 3 8 4 . c r t
证 书 端 点 请 求 有 线 服 务 器 返 回 扩 展 密 钥 的 加 密 形 式 ， 可 以 通 过 传 输 证 书 的 私 钥 对 其 进 行 解 密 。 证 书 端 点 响 应 泄 漏 泄 漏 A z u r e   V M 扩 展 的 私 有 数 据 扩 展 的 私 有 数 据 缺 陷 缺 陷 1 ： 证 书 端 点 无 法 验 证 运 输 证 书 ： 证 书 端 点 无 法 验 证 运 输 证 书 攻 击 者 可 以 创 建 自 己 的 运 输 专 用 密 钥 及 其 相 应 的 运 输 证 书 。 攻 击 者 使 用 证 书 端 点 提 供 自 己 的 传 输 证 书 ， 并 从 有 线 服 务 器 接 收 加 密 形 式 的 密 钥 （ 在 我 们 的 示 例 中 为 F 5 4 2 6 5 F 3 8 F 8 D 1 6 C 3 5 C 0 E 1 F D 3 1 9 0 8 8 2 8 3 1 A 6 C 4 3 8 4 密 钥 ） 。 最 后 ， 加 密 的 密 钥 通 过 传 输 密 钥 解 密 ， 攻 击 者 可 以 继 续 解 密 p r o t e c t e d S e t t i n g s ：
令 我 们 惊 讶 的 是 ， 在 与 r o o t 用 户 一 起 开 发 P o C 之 后 ， 它 将 无 法 与 非 特 权 用 户 一 起 使 用 。 看 来 发 往 W i r e   S e r v e r 端 点 1 6 8 . 6 3 . 1 2 9 . 1 6 的 数 据 包 没 有 被 服 务 器 发 送 出 去 。 这 是 因 为 i p t a b l e s 规 则 将 非 用 户 I D   0 （ 根 ） 的 数 据 包 丢 弃 到 端 点 ： A z u r e   V M   I P 表 缺 点 缺 点 2 ： 绕 过 ： 绕 过 W i r e   S e r v e r 无 特 权 的 访 问 防 御 无 特 权 的 访 问 防 御 如 前 所 述 ， 我 们 发 现 1 6 4 . 2 5 4 . 1 6 4 . 2 5 4 与 1 6 8 . 6 3 . 1 2 9 . 1 6 是 同 一 台 计 算 机 。 我 们 用 1 6 4 . 2 5 4 . 1 6 4 . 2 5 4 将 每 个 请 求 替 换 为 1 6 8 . 6 3 . 1 2 9 . 1 6 ， 这 使 我 们 可 以 在 没 有 特 权 用 户 的 情 况 下 与 W i r e   S e r v e r 通 信 。 此 外 ， 此 i p t a b l e s 防 御 不 适 用 于 在 D o c k e r 容 器 中 运 行 的 进 程 （ 即 使 P o C 以 非 特 权 用 户 身 份 运 行 ） ， 也 允 许 容 器 通 过 W i r e   S e r v e r 泄 漏 有 关 其 主 机 的 信 息 。 该 问 题 也 由 M S R C 修 复 。 结 合 缺 陷 结 合 缺 陷 利 用 这 两 个 缺 陷 ， 无 特 权 的 用 户 可 以 泄 漏 任 何 A z u r e   V M 扩 展 的 私 有 设 置 。 当 与 处 理 敏 感 数 据 的 扩 展 名 配 对 时 ， 这 尤 其 危 险 。 一 个 特 别 严 重 的 例 子 是 V M A c c e s s   扩 展 ， 这 是 一 个 官 方 的 M i c r o s o f t   A z u r e 扩 展 ， 用 于 在 受 控 计 算 机 上 方 便 地 更 改 密 码 。 G u a r d i c o r e   先 前 已 记 录 到 ， 即 使 在 完 成 用 户 密 码 更 改 后 ， V M A c c e s s 仍 将 密 码 保 留 在 p r o t e c t e d S e t t i n g s 字 段 中 ， 并 且 不 再 需 要 将 其 保 留 在 磁 盘 上 。 结 合 我 们 发 现 的 漏 洞 ， 攻 击 者 可 以 通 过 泄 漏 V M A c c e s s 管 理 员 密 码 将 自 己 提 升 为 特 权 更 高 的 用 户 。 此 外 ， 如 果 V M A c c e s s 密 码 与 其 他 A z u r e   V M 共 享 （ 通 常 是 这 样 ） ， 则 攻 击 者 可 以 在 整 个 系 统 上 执 行 横 向 移 动 。 流 程 如 下 所 示 ：
漏 洞 流 以 及 概 念 证 明 ： 泄 漏 V M A c c e s s 扩 展 数 据 结 论 结 论 微 软 发 布 的 C V E 也 适 用 于 其 他 A z u r e 产 品 ， 例 如 A z u r e   S p r i n g   C l o u d ， 这 是 由 研 究 人 员 W o u t e r   t e r   M a a t   后 来 独 立 发 现 的 ， 他 也 将 其 归 功 于 C V E 。 M i c r o s o f t 在 改 进 了 整 个 L i n u x 扩 展 机 制 后 解 决 了 此 问 题 ， 并 且 不 需 要 用 户 交 互 即 可 更 新 V M 。 这 项 研 究 旨 在 进 一 步 围 绕 云 服 务 提 供 商 （ C S P ） 与 客 户 之 间 的 关 系 进 行 讨 论 。 最 终 ， 客 户 应 对 发 生 的 任 何 数 据 泄 露 负 责 。 为 了 获 得 更 完 整 的 云 安 全 策 略 ， I n t e z e r 建 议 采 用 两 管 齐 下 的 方 法 。 做 一 些 基 础 工 作 ， 例 如 修 复 已 知 的 漏 洞 和 强 化 系 统 以 减 少 受 到 攻 击 的 可 能 性 。 您 还 需 要 运 行 时 威 胁 检 测 ， 以 识 别 和 响 应 由 于 未 知 漏 洞 利 用 或 供 应 链 中 的 后 门 而 发 生 的 攻 击 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理