搜索

[26307] 2020-11-14_Ubuntu被曝严重漏洞：切换系统语言+输入几行命令，就能获取root权限

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-19
2020-11-14_Ubuntu被曝严重漏洞：切换系统语言+输入几行命令，就能获取root权限 U b u n t u 被 曝 严 重 漏 洞 ： 切 换 系 统 语 言 + 输 入 几 行 命 令 ， 就 能 获 取 r o o t 权 限 L i n u x 学 习   2 0 2 0 - 1 1 - 1 4 晓 查   发 自   凹 非 寺   本 文 经 A I 新 媒 体 量 子 位 （ I D ： Q b i t A I ） 授 权 转 载 ， 转 载 请 联 系 出 处 无 需 系 统 密 码 ， 就 能 添 加 新 的 s u d o 用 户 、 获 取 r o o t 权 限 ， 事 后 还 能 删 除 不 留 痕 迹 。 这 是 G i t H u b 安 全 研 究 员 K e v i n   B a c k h o u s e 发 现 的 一 个 U b u n t u 系 统 大 漏 洞 。 这 种 攻 击 方 法 非 常 简 单 ， B a c k h o u s e 在 官 方 博 客 中 写 道 ： “ 使 用 终 端 中 的 一 些 简 单 命 令 ， 并 单 击 几 次 鼠 标 ， 标 准 用 户 就 可 以 为 自 己 创 建 一 个 管 理 员 帐 户 。 ” 目 前 还 在 维 护 的 U b u n t u 操 作 系 统 均 受 到 影 响 ， 包 括 2 0 . 1 0 以 及 2 0 . 0 4 、 1 8 . 0 4 、 1 6 . 0 4 三 个 L T S 版 。 B a c k h o u s e 是 如 何 操 作 的 ？ 我 们 接 着 往 下 看 。 攻 击 方 法 攻 击 方 法
首 先 打 开 终 端 ， 在 你 的 主 目 录 下 创 建 一 个 软 链 接 ： （ 注 ： 如 果 以 上 命 令 无 法 运 行 ， 说 明 已 经 存 在 名 为 . p a m _ e n v i r o n m e n t 的 文 件 ， 请 把 这 个 文 件 重 命 名 做 好 备 份 ！ ） 接 下 来 ， 在 系 统 设 置 中 打 开 “ 区 域 和 语 言 区 域 和 语 言 ” ， 然 后 尝 试 更 改 语 言 。 该 对 话 框 会 冻 结 ， 只 需 忽 略 它 ， 然 后 返 回 到 终 端 即 可 。 此 时 ， 一 个 名 为 a c c o u n t s - d a e m o n 的 程 序 正 在 消 耗 1 0 0 ％ 的 C P U 内 核 ， 因 此 你 的 计 算 机 可 能 会 变 慢 并 开 始 变 热 。 在 终 端 中 ， 删 除 软 链 接 。 否 则 ， 你 可 能 无 法 使 用 自 己 的 帐 户 ！ 下 一 步 是 将 S I G S T O P 信 号 发 送 到 a c c o u n t s - d a e m o n ， 阻 止 它 破 坏 该 C P U 内 核 。 但 是 要 做 到 这 一 点 ， 首 先 需 要 知 道 a c c o u n t s - d a e m o n 的 P I D 。 你 可 以 通 过 运 行 t o p 来 找 到 P I D 。 由 于 a c c o u n t s - d a e m o n 被 卡 在 一 个 无 限 循 环 中 ， 因 此 它 很 快 进 入 t o p 列 表 的 顶 部 。 l n   - s   / d e v / z e r o   . p a m _ e n v i r o n m e n t r m   . p a m _ e n v i r o n m e n t
或 者 使 用 p i d o f 命 令 来 查 找 P I D ： 接 着 用 k i l l 命 令 杀 死 S I G S T O P 信 号 ： 然 后 注 销 帐 户 ， 但 首 先 需 要 设 置 一 个 计 时 器 ， 保 证 在 注 销 后 重 置 a c c o u n t s - d a e m o n 。 否 则 ， 前 面 的 努 力 都 将 白 费 。 注 销 后 等 待 几 秒 钟 ， 让 S I G S E G V 起 效 。 如 果 漏 洞 利 用 成 功 ， 则 会 显 示 一 系 列 对 话 框 ， 让 你 创 建 一 个 新 的 用 户 帐 户 。 这 个 新 帐 户 具 有 管 理 员 权 限 管 理 员 权 限 ， 可 以 运 行 s u d o 命 令 。 $   p i d o f   a c c o u n t s - d a e m o n 5 9 7 k i l l   - S I G S T O P   5 9 7 n o h u p   b a s h   - c   “ s l e e p   3 0 s ;   k i l l   - S I G S E G V   5 9 7 ;   k i l l   - S I G C O N T   5 9 7 ”
B a c k h o u s e 将 整 个 过 程 录 成 了 2 分 多 钟 的 视 频 ， 不 明 白 操 作 方 法 的 可 以 前 去 观 看 ： 攻 击 原 理 攻 击 原 理 该 漏 洞 利 用 了 U b u n t u 系 统 中 的 两 个 错 误 ： 第 一 个 是 a c c o u n t s e r v i c e ， 它 是 管 理 计 算 机 上 用 户 帐 户 的 服 务 。 第 二 个 是 G N O M E 显 示 管 理 器 显 示 管 理 器 （ g d m 3 ） ， 它 可 以 处 理 登 录 屏 幕 。 a c c o u n t s - d a e m o n 漏 洞 漏 洞
a c c o u n t s s e r v i c e 守 护 程 序 （ a c c o u n t s - d a e m o n ） 是 一 项 系 统 服 务 ， 可 以 执 行 诸 如 创 建 新 用 户 帐 户 或 更 改 用 户 密 码 的 操 作 ， 但 也 可 以 执 行 对 安 全 性 较 不 敏 感 的 操 作 ， 例 如 更 改 用 户 的 图 标 或 首 选 语 言 。 U b u n t u 使 用 了 经 过 修 改 的 a c c o u n t s e r v i c e 服 务 版 本 ， 添 加 了 一 个 名 为 i s _ i n _ p a m _ e n v i r o n m e n t 的 函 数 ， 该 函 数 会 在 用 户 的 主 目 录 中 查 找 一 个 名 为 . p a m _ e n v i r o n m e n t 的 文 件 并 进 行 读 取 。 将 . p a m _ e n v i r o n m e n t 链 接 到 / d e v / z e r o 可 以 让 a c c o u n t s e r v i c e 服 务 被 拒 绝 。 因 为 / d e v / z e r o 实 际 上 是 磁 盘 上 不 存 在 的 特 殊 文 件 。 它 由 操 作 系 统 提 供 ， 其 行 为 就 像 一 个 无 限 长 的 文 件 ， 其 中 每 个 字 节 均 为 0 。 当 i s _ i n _ p a m _ e n v i r o n m e n t 尝 试 读 取 . p a m _ e n v i r o n m e n t 时 ， 它 会 通 过 软 链 接 重 定 向 到 / d e v / z e r o ， 然 后 由 于 / d e v / z e r o 无 限 长 而 陷 入 无 限 循 环 。 如 此 操 作 会 让 a c c o u n t s - d a e m o n 丧 失 其 r o o t 权 限 ， 转 而 采 用 用 户 的 较 低 特 权 。 然 后 将 S I G S E G V 发 送 给 帐 户 守 护 程 序 使 其 崩 溃 。 G N O M E 漏 洞 漏 洞 G N O M E 显 示 管 理 器 （ g d m 3 ） 是 U b u n t u 用 户 界 面 的 基 本 组 件 。 它 可 以 处 理 用 户 登 录 和 注 销 时 启 动 和 停 止 用 户 会 话 之 类 的 事 情 ， 还 管 理 登 录 屏 幕 。 当 用 户 进 行 新 系 统 的 初 始 设 置 时 ， 会 启 动 一 个 对 话 框 ， 它 其 实 是 一 个 单 独 的 应 用 程 序 ， 称 为 g n o m e - i n i t i a l - s e t u p 。
当 g d m 3 查 询 到 用 户 数 量 为 0 时 ， 会 启 动 这 个 程 序 。 那 么 g d m 3 如 何 检 查 系 统 上 有 多 少 用 户 ？ 通 过 询 问 a c c o u n t s - d a e m o n ！ 不 幸 的 是 ， a c c o u n t s - d a e m o n 已 经 被 我 们 前 面 的 操 作 整 崩 溃 了 ， 所 以 g d m 3 在 检 查 超 时 后 认 为 帐 户 数 量 为 0 ， 并 启 动 g n o m e - i n i t i a l - s e t u p 。 而 初 始 化 设 置 的 用 户 必 须 有 管 理 员 权 限 。 官 方 紧 急 修 复 官 方 紧 急 修 复 B a c k h o u s e 于 1 0 月 1 7 日 向 U b u n t u 和 G N O M E 维 护 人 员 报 告 了 这 些 错 误 ， 官 方 已 经 最 新 代 码 中 提 供 了 修 复 程 序 。 建 议 所 有 U b u n t u 用 户 都 尽 快 安 装 更 新 。 不 过 ， 该 漏 洞 仅 对 桌 面 版 U b u n t u 有 效 。 如 果 使 用 的 是 命 令 行 界 面 ， 或 者 是 G N O M E 之 外 的 其 他 桌 面 环 境 ， 则 暂 时 不 受 影 响 。 博 客 地 址 ： h t t p s : / / s e c u r i t y l a b . g i t h u b . c o m / r e s e a r c h / U b u n t u - g d m 3 - a c c o u n t s s e r v i c e - L P E 网 友 讨 论 ： h t t p s : / / n e w s . y c o m b i n a t o r . c o m / i t e m ? i d = 2 5 0 5 3 2 3 8 推 荐 推 荐 ↓ ↓ ↓
运 维 运 维
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理