Decennia oude Linux 'muur' bug helpt valse SUDO prompts te maken, wachtwoorden te stelen

Hier kunt u Linux tips en nieuws lezen
Gebruikersavatar
Abraham54
Berichten: 447
Lid geworden op: 15 jan 2023, 13:22
Has thanked: 9 times
Been thanked: 181 times

Decennia oude Linux 'muur' bug helpt valse SUDO prompts te maken, wachtwoorden te stelen

#1

Bericht door Abraham54 »

Decennia oude Linux 'muur' bug helpt valse SUDO prompts te maken, wachtwoorden te stelen
Door Bill Toulas
Publicatie van Bleeping Computer[/b]


Afbeelding


Een kwetsbaarheid in het wall commando van het util-linux pakket dat deel uitmaakt van het Linux besturingssysteem kan een ongeprivilegieerde aanvaller in staat stellen om wachtwoorden te stelen of het klembord van het slachtoffer te veranderen.

Het beveiligingsprobleem, getraceerd als CVE-2024-28085, heeft de naam WallEscape gekregen en was aanwezig in elke versie van het pakket van de afgelopen 11 jaar tot en met 2.40 die gisteren is uitgebracht.

Hoewel de kwetsbaarheid een interessant voorbeeld is van hoe een aanvaller een gebruiker kan misleiden om zijn beheerderswachtwoord op te geven, is het misbruiken waarschijnlijk beperkt tot bepaalde scenario's.

Een aanvaller moet toegang hebben tot een Linux server die al meerdere gebruikers tegelijkertijd heeft verbonden via de terminal, zoals een universiteit waar studenten verbinding kunnen maken voor een opdracht.

Beveiligingsonderzoeker Skyler Ferrante ontdekte WallEscape, dat wordt beschreven als een "onjuiste neutralisatie van escape-sequenties in wall" commando.

WallEscape uitbuiten
WallEscape heeft invloed op het 'wall' commando, dat meestal wordt gebruikt in Linux systemen om berichten uit te zenden naar de terminals van alle gebruikers die zijn ingelogd op hetzelfde systeem, zoals een server.

Omdat escape-sequenties niet goed worden gefilterd bij het verwerken van invoer via commandoregelargumenten, kan een ongeprivilegieerde gebruiker de kwetsbaarheid misbruiken door escape-controletekens te gebruiken om een nep SUDO-prompt te maken op de terminals van andere gebruikers en ze te verleiden tot het typen van hun beheerderswachtwoord.

Het beveiligingsprobleem kan onder bepaalde omstandigheden worden misbruikt. Ferrante legt uit dat uitbuiting mogelijk is als het "mesg" hulpprogramma actief is en het wall commando setgid rechten heeft.

De onderzoeker merkt op dat beide condities aanwezig zijn op Ubuntu 22.04 LTS (Jammy Jellyfish) en Debian 12.5 (Bookworm), maar niet op CentOS.

Proof-of-concept-exploitcode voor WallEscape is gepubliceerd om te laten zien hoe een aanvaller het probleem zou kunnen uitbuiten.

Naast de technische details bevat Ferrante ook exploitatiescenario's die tot verschillende resultaten kunnen leiden.

Eén voorbeeld beschrijft de stappen om een valse sudo-prompt voor Gnome-terminal te maken om de gebruiker te verleiden tot het intypen van zijn wachtwoord.

Ferrante legt uit dat dit mogelijk is door een valse SUDO-prompt voor de Gnome-terminal te maken om de gebruiker te verleiden tot het intypen van de gevoelige informatie als een commandoregelargument.

Dit vereist enkele voorzorgsmaatregelen die mogelijk zijn door het wall commando te gebruiken om het doelwit een script door te geven dat hun invoer in de terminal verandert (voorgrondkleur, verbergen van typen, slaaptijd) zodat de valse wachtwoordprompt doorkomt als een legitiem verzoek.

Om het wachtwoord te vinden, zou een aanvaller dan het bestand /proc/$pid/cmdline moeten controleren op de commandoredenen, die zichtbaar zijn voor ongeprivilegieerde gebruikers op meerdere Linux distributies.

Een andere aanval zou zijn om het klembord van een doelgebruiker te veranderen door middel van escape-sequenties. De onderzoeker benadrukt dat deze methode niet werkt met alle terminal emulators, waaronder Gnome.

"Aangezien we escape-sequenties via wall kunnen versturen, als een gebruiker een terminal gebruikt die deze escape-sequentie ondersteunt, kan een aanvaller het klembord van het slachtoffer veranderen in willekeurige tekst," vertelt Ferrante.

De onderzoeker geeft in het kwetsbaarheidsrapport de demo-code om de val in te stellen en de aanval uit te voeren en legt ook uit hoe het werkt voor beide exploitatiescenario's.

Het is vermeldenswaard dat het exploiteren van WallEscape afhankelijk is van lokale toegang (fysiek of op afstand via SSH), wat de ernst ervan beperkt.

Het risico komt van ongeprivilegieerde gebruikers met toegang tot hetzelfde systeem als het slachtoffer in multi-user instellingen zoals de server van een organisatie.

Gebruikers wordt geadviseerd om te upgraden naar linux-utils v2.40 om de kwetsbaarheid te verhelpen. Gewoonlijk wordt de update beschikbaar gesteld via het standaard updatekanaal van de Linux-distributie op de pakketbeheerder, maar er kan enige vertraging optreden.

Systeembeheerders kunnen CVE-2024-28085 onmiddellijk verhelpen door de setgid rechten van het 'wall' commando te verwijderen of door de message broadcast functionaliteit uit te schakelen met het 'mesg' commando om de vlag op 'n' te zetten.
Fulltime forumbeheerder overdag, astronaut en kwantumfysicus 's nachts.
Plaats reactie

Terug naar “Linux nieuws en tips”