搜索

[20498] 2021-01-28_CVE-2021-3156：Sudo中基于堆的缓冲区溢出(BaronSamedit)

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-28_CVE-2021-3156：Sudo中基于堆的缓冲区溢出(BaronSamedit) C V E - 2 0 2 1 - 3 1 5 6 ： S u d o 中 基 于 堆 的 缓 冲 区 溢 出   ( B a r o n   S a m e d i t ) K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 2 8 C V E - 2 0 2 1 - 3 1 5 6 ： S u d o 中 基 于 堆 的 缓 冲 区 溢 出   ( B a r o n   S a m e d i t )                         s u d o 中 的 堆 溢 出 漏 洞 ， 该 漏 洞 在 类 似 U n i x 的 主 要 操 作 系 统 上 都 可 以 使 用 。 通 过 利 用 此 漏 洞 ， 任 何 没 有 特 权 的 用 户 都 可 以 使 用 默 认 的 s u d o 配 置 在 易 受 攻 击 的 主 机 上 获 得 r o o t 特 权 。                         S u d o 是 一 个 功 能 强 大 的 实 用 程 序 ， 大 多 数 （ 如 果 不 是 全 部 ） 基 于 U n i x 和 L i n u x 的 操 作 系 统 都 包 含 S u d o 。 它 允 许 用 户 使 用 其 他 用 户 的 安 全 特 权 运 行 程 序 。 该 漏 洞 本 身 已 经 隐 藏 了 将 近 十 年 。 它 于 2 0 1 1 年 7 月 引 入 （ 提 交 8 2 5 5 e d 6 9 ） ， 在 其 默 认 配 置 下 会 影 响 从 1 . 8 . 2 到 1 . 8 . 3 1 p 2 的 所 有 旧 版 本 以 及 从 1 . 9 . 0 到 1 . 9 . 5 p 1 的 所 有 稳 定 版 本 。                         成 功 利 用 此 漏 洞 ， 任 何 没 有 特 权 的 用 户 都 可 以 在 易 受 攻 击 的 主 机 上 获 得 r o o t 特 权 。 Q u a l y s 安 全 研 究 人 员 已 经 能 够 在 U b u n t u 2 0 . 0 4 （ S u d o   1 . 8 . 3 1 ） ， D e b i a n   1 0 （ S u d o   1 . 8 . 2 7 ） 和 F e d o r a   3 3 （ S u d o   1 . 9 . 2 ） 上 独 立 验 证 漏 洞 并 开 发 多 种 利 用 漏 洞 并 获 得 完 整 的 r o o t 用 户 特 权 。 其 他 操 作 系 统 和 发 行 版 也 可 能 会 被 利 用 。                                                 视 频 验 证 ： h t t p s : / / p l a y e r . v i m e o . c o m / v i d e o / 5 0 4 8 7 2 5 5 5 技 术 细 节 如 果 执 行 了 S u d o 以 在 “   s h e l l ” 模 式 下 运 行 命 令 （ s h e l l   - c 命 令 ） ： 通 过 - s 选 项 设 置 S u d o 的 M O D E _ S H E L L 标 志 ； 或 者   要 么 通 过 - i 选 项 ， 该 选 项 设 置 S u d o 的 M O D E _ S H E L L 和 M O D E _ L O G I N _ S H E L L 标 志 ； 然 后 ， 在 S u d o   m a i n （ ） 的 开 头 ， p a r s e _ a r g s （ ） 通 过 连 接 所 有 命 令 行 参 数 （ 第 5 8 7 - 5 9 5 行 ） 并 用 反 斜 杠 转 义 所 有 元 字 符 （ 第 5 9 0 - 5 9 1 行 ） 来 重 写 a r g v （ 第 6 0 9 - 6 1 7 行 ）   ） ： 5 7 1           i f   ( I S S E T ( m o d e ,   M O D E _ R U N )   & &   I S S E T ( f l a g s ,   M O D E _ S H E L L ) )   {   5 7 2                   c h a r   * * a v ,   * c m n d   =   N U L L ;   5 7 3                   i n t   a c   =   1 ;   . . .   5 8 1                           c m n d   =   d s t   =   r e a l l o c a r r a y ( N U L L ,   c m n d _ s i z e ,   2 ) ;   . . .   5 8 7                           f o r   ( a v   =   a r g v ;   * a v   ! =   N U L L ;   a v + + )   {   5 8 8                                   f o r   ( s r c   =   * a v ;   * s r c   ! =   ' 0 ' ;   s r c + + )   {  
稍 后 ， 在 s u d o e r s _ p o l i c y _ m a i n （ ） 中 ， s e t _ c m n d （ ） 将 命 令 行 参 数 连 接 到 基 于 堆 的 缓 冲 区 “   u s e r _ a r g s ” （ 行 8 6 4 - 8 7 1 ） 中 ， 并 取 消 转 义 元 字 符 （ 行 8 6 6 - 8 6 7 ） ， “ 用 于 s u d o e r s 匹 配 和 记 录 目 的 ” ： 不 幸 的 是 ， 如 果 命 令 行 参 数 以 单 个 反 斜 杠 字 符 结 尾 ， 则 ： 在 8 6 6 行 ， “   f r o m   [ 0 ] ” 是 反 斜 杠 字 符 ， “   f r o m   [ 1 ] ” 是 参 数 的 空 终 止 符 （ 即 ， 不 是 空 格 字 符 ） ； 在 第 8 6 7 行 ， “   f r o m ” 递 增 ， 并 指 向 空 终 止 符 ； 在 第 8 6 8 行 ， 将 空 终 止 符 复 制 到 “   u s e r _ a r g s ” 缓 冲 区 ， 并 再 次 从 “   f r o m ” 开 始 递 增 ， 并 指 向 空 终 止 符 之 后 的 第 一 个 字 符 （ 即 ， 超 出 参 数 的 范 围 ） ； 第 8 6 5 - 8 6 9 行 的 “   w h i l e ” 循 环 读 取 越 界 字 符 并 将 其 复 制 到 “   u s e r _ a r g s ” 缓 冲 区 。 换 句 话 说 ， s e t _ c m n d （ ） 容 易 受 到 基 于 堆 的 缓 冲 区 溢 出 的 影 响 ， 因 为 复 制 到 “   u s e r _ a r g s ” 缓 冲 区 的 越 界 字 符 不 包 括 在 其 大 小 中 （ 在 第 8 5 2 - 8 5 3 行 计 算 ） 。 5 8 8                                   f o r   ( s r c   =   * a v ;   * s r c   ! =   ' 0 ' ;   s r c + + )   {   5 8 9                                           / *   q u o t e   p o t e n t i a l   m e t a   c h a r a c t e r s   * / 5 9 0                                           i f   ( ! i s a l n u m ( ( u n s i g n e d   c h a r ) * s r c )   & &   * s r c   ! =   ' _ '   & &   * s r c   ! =   ' - '   & &   * s r c   ! =   ' $ ' )   5 9 1                                                   * d s t + +   =   ' ' ;   5 9 2                                           * d s t + +   =   * s r c ;   5 9 3                                   }   5 9 4                                   * d s t + +   =   '   ' ;   5 9 5                           }   . . .   6 0 0                           a c   + =   2 ;   / *   - c   c m n d   * / . . .   6 0 3                   a v   =   r e a l l o c a r r a y ( N U L L ,   a c   +   1 ,   s i z e o f ( c h a r   * ) ) ;   . . .   6 0 9                   a v [ 0 ]   =   ( c h a r   * ) u s e r _ d e t a i l s . s h e l l ;   / *   p l u g i n   m a y   o v e r r i d e   s h e l l   * / 6 1 0                   i f   ( c m n d   ! =   N U L L )   {   6 1 1                           a v [ 1 ]   =   " - c " ;   6 1 2                           a v [ 2 ]   =   c m n d ;   6 1 3                   }   6 1 4                   a v [ a c ]   =   N U L L ;   6 1 5 6 1 6                   a r g v   =   a v ;   6 1 7                   a r g c   =   a c ;   6 1 8           } 8 1 9           i f   ( s u d o _ m o d e   &   ( M O D E _ R U N   |   M O D E _ E D I T   |   M O D E _ C H E C K ) )   {   . . .   8 5 2                           f o r   ( s i z e   =   0 ,   a v   =   N e w A r g v   +   1 ;   * a v ;   a v + + )   8 5 3                                   s i z e   + =   s t r l e n ( * a v )   +   1 ;   8 5 4                           i f   ( s i z e   = =   0   | |   ( u s e r _ a r g s   =   m a l l o c ( s i z e ) )   = =   N U L L )   {   . . .   8 5 7                           }   8 5 8                           i f   ( I S S E T ( s u d o _ m o d e ,   M O D E _ S H E L L | M O D E _ L O G I N _ S H E L L ) )   {   . . .   8 6 4                                   f o r   ( t o   =   u s e r _ a r g s ,   a v   =   N e w A r g v   +   1 ;   ( f r o m   =   * a v ) ;   a v + + )   {   8 6 5                                           w h i l e   ( * f r o m )   {   8 6 6                                                   i f   ( f r o m [ 0 ]   = =   ' '   & &   ! i s s p a c e ( ( u n s i g n e d   c h a r ) f r o m [ 1 ] ) )   8 6 7                                                           f r o m + + ;   8 6 8                                                   * t o + +   =   * f r o m + + ;   8 6 9                                           }   8 7 0                                           * t o + +   =   '   ' ;   8 7 1                                   }   . . .   8 8 4                           }   . . .   8 8 6           }
但 是 ， 从 理 论 上 讲 ， 任 何 命 令 行 参 数 都 不 能 以 单 个 反 斜 杠 字 符 结 尾 ： 如 果 设 置 了 M O D E _ S H E L L 或 M O D E _ L O G I N _ S H E L L （ 第 8 5 8 行 ， 这 是 到 达 易 受 攻 击 的 代 码 的 必 要 条 件 ） ， 则 设 置 了 M O D E _ S H E L L （ 第 5 7 1 行 ） 和 p a r s e _ a r g s （ ） 已 经 转 义 了 包 括 反 斜 杠 在 内 的 所 有 元 字 符 （ 即 ， 它 以 第 二 个 反 斜 杠 转 义 了 每 个 单 个 反 斜 杠 ） 。 但 是 实 际 上 ， s e t _ c m n d （ ） 中 的 易 受 攻 击 的 代 码 和 p a r s e _ a r g s （ ） 中 的 转 义 代 码 被 稍 有 不 同 的 条 件 所 包 围 ： 我 们 的 问 题 是 ： 是 否 可 以 设 置 M O D E _ S H E L L 以 及 M O D E _ E D I T 或 M O D E _ C H E C K （ 以 访 问 易 受 攻 击 的 代 码 ） ， 但 不 能 设 置 默 认 的 M O D E _ R U N （ 以 避 免 转 义 代 码 ） ？ 答 案 似 乎 没 有 ： 如 果 我 们 设 置 M O D E _ E D I T （ - e 选 项 ， 第 3 6 1 行 ） 或 M O D E _ C H E C K （ - l 选 项 ， 第 4 2 3 和 5 1 9 行 ） ， 则 p a r s e _ a r g s （ ） 将 从 “ v a l i d _ f l a g s ” （ 第 3 6 3 和 4 2 4 行 ） 中 删 除 M O D E _ S H E L L   ） ， 如 果 我 们 指 定 了 无 效 的 标 志 （ 例 如 M O D E _ S H E L L ） （ 第 5 3 2 - 5 3 3 行 ） ， 则 会 出 错 退 出 ： 但 是 我 们 发 现 了 一 个 漏 洞 ： 如 果 我 们 以 “   s u d o e d i t ” 而 不 是 “   s u d o ” 的 身 份 执 行 S u d o ， 则 p a r s e _ a r g s （ ） 会 自 动 设 置 M O D E _ E D I T （ 第 2 7 0 行 ） ， 但 不 会 重 置 “   v a l i d _ f l a g s ” ， 并 且 默 认 情 况 下 ， “   v a l i d _ f l a g s ” 包 括 M O D E _ S H E L L （ 第 1 2 7 和 2 4 9 ） ： 因 此 ， 如 果 执 行 “   s u d o e d i t   - s ” ， 那 么 我 们 将 同 时 设 置 M O D E _ E D I T 和 M O D E _ S H E L L （ 但 不 设 置 M O D E _ R U N ） ， 则 避 免 转 义 代 码 ， 到 达 易 受 攻 击 的 代 码 ， 并 通 过 命 令 行 溢 出 基 于 堆 的 缓 冲 区 “   u s e r _ a r g s ” 以 单 个 反 斜 杠 字 符 结 尾 的 参 数 ： 8 1 9           i f   ( s u d o _ m o d e   &   ( M O D E _ R U N   |   M O D E _ E D I T   |   M O D E _ C H E C K ) )   {   . . .   8 5 8                           i f   ( I S S E T ( s u d o _ m o d e ,   M O D E _ S H E L L | M O D E _ L O G I N _ S H E L L ) )   { 5 7 1           i f   ( I S S E T ( m o d e ,   M O D E _ R U N )   & &   I S S E T ( f l a g s ,   M O D E _ S H E L L ) )   { 3 5 8                                   c a s e   ' e ' :   . . .   3 6 1                                           m o d e   =   M O D E _ E D I T ;   3 6 2                                           s u d o _ s e t t i n g s [ A R G _ S U D O E D I T ] . v a l u e   =   " t r u e " ;   3 6 3                                           v a l i d _ f l a g s   =   M O D E _ N O N I N T E R A C T I V E ;   3 6 4                                           b r e a k ;   . . .   4 1 6                                   c a s e   ' l ' :   . . .   4 2 3                                           m o d e   =   M O D E _ L I S T ;   4 2 4                                           v a l i d _ f l a g s   =   M O D E _ N O N I N T E R A C T I V E | M O D E _ L O N G _ L I S T ;   4 2 5                                           b r e a k ;   . . .   5 1 8           i f   ( a r g c   >   0   & &   m o d e   = =   M O D E _ L I S T )   5 1 9                   m o d e   =   M O D E _ C H E C K ;   . . .   5 3 2           i f   ( ( f l a g s   &   v a l i d _ f l a g s )   ! =   f l a g s )   5 3 3                   u s a g e ( 1 ) ; 1 2 7   # d e f i n e   D E F A U L T _ V A L I D _ F L A G S           ( M O D E _ B A C K G R O U N D | M O D E _ P R E S E R V E _ E N V | M O D E _ R E S E T _ H O M E | M O D E _ L O G I N _ S H E L L | M O D E _ N O N I N T E R A C T I V E | M O D E _ S H E L L )   . . .   2 4 9           i n t   v a l i d _ f l a g s   =   D E F A U L T _ V A L I D _ F L A G S ;   . . .   2 6 7           p r o g l e n   =   s t r l e n ( p r o g n a m e ) ;   2 6 8           i f   ( p r o g l e n   >   4   & &   s t r c m p ( p r o g n a m e   +   p r o g l e n   -   4 ,   " e d i t " )   = =   0 )   {   2 6 9                   p r o g n a m e   =   " s u d o e d i t " ;   2 7 0                   m o d e   =   M O D E _ E D I T ;   2 7 1                   s u d o _ s e t t i n g s [ A R G _ S U D O E D I T ] . v a l u e   =   " t r u e " ;   2 7 2           } s u d o e d i t   - s   ' '   ` p e r l   - e   ' p r i n t   " A "   x   6 5 5 3 6 ' `  
从 攻 击 者 的 角 度 来 看 ， 由 于 以 下 原 因 ， 此 缓 冲 区 溢 出 是 理 想 的 ： 1 ） 攻 击 者 控 制 可 能 溢 出 的 “   u s e r _ a r g s ” 缓 冲 区 的 大 小 （ 我 们 串 联 的 命 令 行 参 数 的 大 小 ， 在 8 5 2 - 8 5 4 行 ） ； 2 ） 攻 击 者 独 立 控 制 溢 出 本 身 的 大 小 和 内 容 （ 我 们 的 最 后 一 个 命 令 行 参 数 后 面 是 我 们 的 第 一 个 环 境 变 量 ， 该 变 量 未 包 含 在 第 8 5 2 - 8 5 3 行 的 大 小 计 算 中 ） ； 3 ） 攻 击 者 甚 至 可 以 将 空 字 节 写 入 溢 出 的 缓 冲 区 （ 每 个 命 令 行 参 数 或 以 单 个 反 斜 杠 结 尾 的 环 境 变 量 在 8 6 6 - 8 6 8 行 将 空 字 节 写 入 “ u s e r _ a r g s ” ） 例 如 ， 在 a m d 6 4   L i n u x 上 ， 以 下 命 令 分 配 一 个 2 4 字 节 的 “   u s e r _ a r g s ” 缓 冲 区 （ 一 个 3 2 字 节 的 堆 块 ） ， 并 用 “   A   =   a     0 B   =   b   0 ” （ 0 x 0 0 6 2 3 d 4 2 0 0 6 1 3 d 4 1 ） 覆 盖 下 一 个 块 的 大 小 字 段 。 ， 其 f d 字 段 为 “   C   =   c     0 D   =   d     0 ” （ 0 x 0 0 6 4 3 d 4 4 0 0 6 3 3 d 4 3 ） ， 其 b k 字 段 为 “   E   =   e   0 F   =   f     0 ” （ 0 x 0 0 6 6 3 d 4 6 0 0 6 5 3 d 4 5 ） ： Q u a l y s 覆 盖 范 围 Q I D   3 7 4 8 9 1 ： 基 于 S u d o 堆 的 缓 冲 区 溢 出 漏 洞 Q I D 在 v u l n s i g s 版 本 V U L N S I G S - 2 . 5 . 9 0 - 4 和 L i n u x   C l o u d   A g e n t 清 单 版 本 l x _ m a n i f e s t - 2 . 5 . 9 0 . 4 - 3 中 可 用 。 参 考 文 献 ： h t t p s : / / b l o g . q u a l y s . c o m / v u l n e r a b i l i t i e s - r e s e a r c h / 2 0 2 1 / 0 1 / 2 6 / c v e - 2 0 2 1 - 3 1 5 6 - h e a p - b a s e d - b u f f e r - o v e r f l o w - i n - s u d o - b a r o n - s a m e d i t h t t p s : / / w w w . q u a l y s . c o m / 2 0 2 1 / 0 1 / 2 6 / c v e - 2 0 2 1 - 3 1 5 6 / b a r o n - s a m e d i t - h e a p - b a s e d - o v e r f l o w - s u d o . t x t m a l l o c ( ) :   c o r r u p t e d   t o p   s i z e   A b o r t e d   ( c o r e   d u m p e d ) e n v   - i   ' A A = a '   ' B = b '   ' C = c '   ' D = d '   ' E = e '   ' F = f '   s u d o e d i t   - s   ' 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - + - -       |                 |                 | 1 2 3 4 5 6 7 8 | 9 0 1 2 3 4 5 6 | 7 8 9 0 1 2 . A | A = a . B = b . | C = c . D = d . | E = e . F = f . |   - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - + - -                               s i z e     < - - - -   u s e r _ a r g s   b u f f e r   - - - - >     s i z e             f d               b k
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理