搜索

[16330] 2021-01-17_CVE-2020-7468：FreeBSDftpdchroot本地提权漏洞分析

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-01-17_CVE-2020-7468：FreeBSDftpdchroot本地提权漏洞分析 C V E - 2 0 2 0 - 7 4 6 8 ： F r e e B S D   f t p d   c h r o o t 本 地 提 权 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 1 7 漏 洞 概 述 漏 洞 概 述 在 今 年 7 月 ， 我 们 从 一 位 匿 名 研 究 员 那 里 收 到 了 F r e e B S D 中 的 一 个 本 地 权 限 提 升 漏 洞 的 相 关 信 息 ， 即 一 个 存 在 于 F r e e B S D 的 文 件 传 输 协 议 守 护 进 程 （ f t p d ） 中 的 漏 洞 。 f t p d 提 供 了 一 个 名 为 f t p c h r o o t 的 功 能 ， 旨 在 限 制 经 过 身 份 验 证 的 用 户 对 文 件 系 统 的 访 问 。 这 个 特 性 是 使 用 “ c h r o o t ” 系 统 调 用 实 现 的 ， 这 是 一 种 通 常 称 为 “ c h r o o t   j a i l ” 的 安 全 技 术 ， c h r o o t j a i l 可 以 将 进 程 限 制 在 文 件 系 统 的 受 限 部 分 来 运 行 。 但 是 ， 在 该 漏 洞 的 帮 助 下 ， 攻 击 者 实 际 上 可 以 利 用 这 种 被 “ 囚 禁 ” 的 状 态 来 进 行 各 种 非 法 操 作 ， 将 其 权 限 从 受 限 制 的 F T P 帐 户 提 升 为 “ r o o t ” 权 限 ， 并 允 许 攻 击 者 能 够 在 目 标 系 统 上 执 行 任 意 代 码 。 此 漏 洞 在 F r e e B S D   F T P 守 护 程 序 中 存 在 了 很 长 时 间 ， 最 早 可 以 追 溯 到 F r e e B S D   6 . 3 版 本 。 目 前 ， 这 个 漏 洞 被 标 记 为 了 C V E - 2 0 2 0 - 7 4 6 8 / Z D I - 2 0 - 1 4 3 1 ， 相 关 漏 洞 补 丁 已 于 今 年 9 月 份 正 式 发 布 。 漏 洞 分 析 漏 洞 分 析 这 个 漏 洞 存 在 的 根 本 原 因 是 f r e e b s d / l i b e x e c / f t p d / f t p d . c 的 c h r o o t ( ) 函 数 在 进 行 业 务 处 理 时 存 在 设 计 缺 陷 。 下 面 给 出 的 是 存 在 漏 洞 的 函 数 简 化 版 本 ： v o i d   p a s s ( c h a r   * p a s s w d ) { / /   . . .                 i f   ( g u e s t   | |   d o c h r o o t )   { / /   . . .                                 / *                                   *   F i n a l l y ,   d o   c h r o o t ( )
                                  * /                                 i f   ( c h r o o t ( c h r o o t d i r )   <   0 )   {                                                 r e p l y ( 5 5 0 ,   " C a n ' t   c h a n g e   r o o t . " ) ;                                                 g o t o   b a d ;                                 }                                 _ _ F r e e B S D _ l i b c _ e n t e r _ r e s t r i c t e d _ m o d e ( ) ;                 }   e l s e     / *   r e a l   u s e r   w / o   c h r o o t   * /                                 h o m e d i r   =   p w - > p w _ d i r ; / /   . . .                 i f   ( c h d i r ( h o m e d i r )   <   0 )   {                                 i f   ( g u e s t   | |   d o c h r o o t )   {                                                 r e p l y ( 5 5 0 ,   " C a n ' t   c h a n g e   t o   b a s e   d i r e c t o r y . " ) ;                                                 g o t o   b a d ;                                 }   e l s e   { / /   . . .                                 } / /   . . . b a d :                 / *   F o r g e t   a l l   a b o u t   i t . . .   * / # i f d e f     L O G I N _ C A P                 l o g i n _ c l o s e ( l c ) ; # e n d i f                 i f   ( r e s i d u e )                                 f r e e ( r e s i d u e ) ;                 e n d _ l o g i n ( ) ;
如 果   F T P   用 户 试 图 登 录 并 被 配 置 为 限 制 在 / e t c / f t p c h r o o t 中 的 c h r o o t   j a i l ， 那 么 f t p d 将 调 用 c h r o o t 和 c h d i r 系 统 调 用 ） 。 如 果 c h d i r 系 统 调 用 失 败 ， 则 代 码 将 跳 转 到 标 签 b a d 处 。 在 这 种 情 况 下 ， f t p d 仍 然 会 等 待 新 的 登 录 ， 但 连 接 已 锁 定 在 c h r o o t j a i l 内 。 此 时 ， 将 导 致 连 接 上 的 下 次 登 录 尝 试 会 引 发 错 误 行 为 。 漏 洞 利 用 漏 洞 利 用 为 了 强 制 c h d i r 系 统 调 用 在 登 录 过 程 中 失 效 ， 攻 击 者 可 使 用 命 令   c h m o d   0   在 主 目 录 上 更 改 权 限 。 另 外 ， 攻 击 者 将 会 上 传 和 主 页 目 录 相 关 的 文 件 “ e t c / s p w d . d b ” 。 该 文 件 是 修 改 过 的 常 规   F r e e B S D   系 统 （ 包 含 r o o t 用 户 的 已 知 密 码 ） 的 密 码 数 据 库 。 c h d i r 调 用 失 败 后 ， f t p d 会 被 锁 定 在 c h r o o t   j a i l 中 ， 以 便 所 有 后 续 的 文 件 系 统 访 问 都 会 跟 用 户 主 目 录 相 关 ， 而 不 是 真 实 的 文 件 系 统 r o o t 路 径 。 这 样 一 来 ， 当 对 后 续 登 录 进 行 认 证 时 ， f t p d 读 取 攻 击 者 的 s p w d . d b 而 不 是 存 储 在 文 件 系 统 真 实 r o o t 目 录 下 的 / e t c / s p w d . d b 。 此 时 ， 攻 击 者 就 可 以 通 过 已 知 密 码 以 r o o t 身 份 进 行 登 录 了 。 下 一 步 ， 攻 击 者 需 要 上 传 / e t c / p a m . d / f t p d 和 / u s r / l i b / p a m _ o p i e . s o . 5 。 第 一 个 文 件 可 以 让 f t p d 在 登 录 过 程 中 加 载 多 个 动 态 库 ， 其 中 就 包 括 这 第 二 个 文 件 。 第 二 个 文 件 旨 在 通 过 已 获 得 的 r o o t 权 限 来 突 破 c h r o o t   j a i l 并 执 行 反 向 S h e l l 。 接 下 来 ， 攻 击 者 就 能 够 以 r o o t 权 限 来 执 行 任 意 代 码 了 。 漏 洞 利 用 步 骤 大 致 如 下 ： 漏 洞 利 用 步 骤 大 致 如 下 ： 通 过 受 限 的   F T P   账 户 登 录 。 上 传 包 含 已 知 r o o t 密 码 的 e t c / s p w d . d b 。 执 行 “ c h m o d   0 ” 。 再 次 以 受 限 的   F T P   账 户 登 录 。 在 登 录 过 程 中 ， c h d i r 执 行 失 败 ， 导 致 f t p d 进 程 在 c h r o o t   j a i l 中 被 锁 定 。 通 过 已 知 密 码 以   r o o t   身 份 登 录 。 上 传 / e t c / p a m . d / f t p d 和 / u s r / l i b / p a m _ o p i e . s o . 5 ， 后 者 包 含 一 个 反 向 S h e l l 。 再 次 以 受 限   F T P   账 户 身 份 登 录 。 和 之 前 一 样 ， c h d i r 执 行 失 败 ， 导 致 f t p d 进 程 在 c h r o o t   j a i l 中 被 锁 定 。 通 过 已 知 密 码 以   r o o t   身 份 登 录 。 f t p d 执 行 该 反 向 S h e l l 。 漏 洞 修 复 漏 洞 修 复 为 解 决 这 个 问 题 ， F r e e B S D 对 其 功 能 实 现 代 码 进 行 了 修 改 ， 如 果 c h d i r 系 统 调 用 失 败 的 话 ， 则 f t p d 将 会 立 刻 断 开 连 接 ： } v o i d   f a t a l e r r o r ( c h a r   * s ) {                 r e p l y ( 4 5 1 ,   " E r r o r   i n   s e r v e r :   % s " ,   s ) ;                 r e p l y ( 2 2 1 ,   " C l o s i n g   c o n n e c t i o n   d u e   t o   s e r v e r   e r r o r . " ) ;                 d o l o g o u t ( 0 ) ;                 / *   N O T R E A C H E D   * / }
总 结 总 结 这 个 漏 洞 是 一 个 逻 辑 提 权 漏 洞 ， 因 此 它 的 稳 定 性 非 常 强 ， 这 个 漏 洞 跟 九 月 份 发 布 的 F r e e B S D   内 核 提 权 漏 洞 （ C V E - 2 0 2 0 - 7 4 6 0 ） 也 是 不 一 样 的 。 精 彩 推 荐 精 彩 推 荐 } v o i d   p a s s ( c h a r   * p a s s w d ) { / /   . . .                 i f   ( c h d i r ( h o m e d i r )   <   0 )   {                                 i f   ( g u e s t   | |   d o c h r o o t )   {                                                 f a t a l e r r o r ( " C a n ' t   c h a n g e   t o   b a s e   d i r e c t o r y . " ) ;                                 }   e l s e   { / / . . . }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理