coby-nguyen/document-linux-privilege-escalationاستغلال الثغرة المسماة "Dirty_Sock" (CVE-2019-7304) في واجهة REST API لبرنامج snapd التابع لـ Canonical.
استغلال الثغرة المسماة "Dirty_Sock" (CVE-2019-7304) في واجهة REST API الخاصة بخدمة snapd من Canonical (خدمة افتراضية في أوبونتو لينكس)، للحصول على صلاحيات الجذر.
دليل راميل مصطفاييف: https://kryptohaker.medium.com/linux-privilege-escalation-via-snapd-using-dirty-sock-exploit-and-demonstration-of-cve-2019-7304-892716cf99ca
تم استغلال هذه الثغرة في إصدارات snapd الأقدم من 2.37، بسبب التحقق والتحليل غير الصحيحين لعنوان المقبس البعيد عند تنفيذ ضوابط الوصول على مقبس UNIX الخاص به. وقد أثر هذا أيضاً على بعض توزيعات يونكس ولينكس في ذلك الوقت (مثل Ubuntu 16.04). لذلك، لتنفيذ هذا الاستغلال، نحتاج إلى snapd 2.32 وUbuntu 16.04.
حصلت على حزمة Debian الخاصة بـ snapd 2.32 من https://launchpad.net/ubuntu/+source/snapd
أولاً، أتحقق من جهاز أوبونتو لمعرفة ما إذا كان عرضة للاستغلال باستخدام الأوامر cat /etc/lsb-release (التي تظهر إصدار أوبونتو مع وصفه) و uname -a (التي تتحقق من معلومات الحاسوب ونظام التشغيل الحاليين). ثم نتأكد من أن هذا الجهاز قابل للاستغلال.
الخطوة التالية هي تشغيل خدمة snapd باستخدام الأمر systemctl start snapd (في الواقع، عندما يستغل المهاجمون هذه الثغرة، يجب أن يقوم المسؤول بتشغيل خدمة snapd، وإلا فلن يتمكنوا من تشغيلها بنجاح). ثم يمكننا التحقق من إصدار snapd للتأكد من أنه ضعيف.
بعد ذلك، سأتحقق من صلاحيات المستخدم باستخدام الأوامر id (لعرض معلومات المستخدم والمجموعة) و tail /etc/passwd (يستخدم ملف /etc/passwd لتتبع كل مستخدم مسجل). تظهر النتائج أدناه أن المهاجم الذي يحمل اسم المستخدم "coby" هو مستخدم عادي، لديه أقل صلاحية وصول للنظام.
لشن هذا الهجوم، سنستخدم برنامج dirty_sock النصي، الذي يحتوي على نسختين، وتم الحصول عليه من https://github.com/initstring/dirty_sock. بينما تتطلب النسخة الأولى اتصالاً بالإنترنت إلى الخارج وتشغيل خدمة SSH، يمكن تشغيل النسخة الثانية مباشرة دون أي متطلبات.
في ملف dirty_sockv2.py، الذي سيتم استخدامه في هذا الاستغلال، يجب التركيز على بعض المكونات الرئيسية. المكون الرئيسي الأول في هذا البرنامج النصي هو المتغير TROJAN_SNAP، وهو سلسلة مشفرة بترميز base64 تمثل حزمة snap قابلة للتثبيت. هذه الحزمة هي snap فارغ من نوع "devmode" يحتوي على سكريبت باش في خطاف التثبيت، والذي سيقوم بإنشاء مستخدم جديد ("devmode" (وضع المطور) هو نمط تثبيت خاص يسمح لـ snaps بتجاوز التقييد الصارم لأغراض التطوير وتصحيح الأخطاء).
مكون آخر جدير بالملاحظة في هذا البرنامج النصي هو دالة create_sockfile(). تستغل هذه الدالة التحليل غير الآمن في ملف "snapd's ucrednet.go" لإنشاء ملف مقبس عشوائي وإدخال dirty sock، ;uid=0;، مما يسمح لنا بالكتابة فوق متغير UID.
لتنفيذ هذا الاستغلال، أقوم ببساطة بتشغيل dirty_sockv2.py في الطرفية. بعد تشغيل أداة dirty_sock بنجاح، يمكننا رؤية أنه تم إنشاء حساب dirty_sock بنفس كلمة المرور تلقائياً بواسطة البرنامج النصي.
ثم أتحقق من ملف /etc/passwd لرؤية قائمة المستخدمين المسجلين، وأجد أنه تم إنشاء مستخدم جديد باسم "dirty_sock".
باستخدام الأمر su، يمكنني تسجيل الدخول إلى حساب "dirty_sock" باستخدام بيانات الاعتماد المكتشفة. بعد تسجيل الدخول بنجاح، يمكنني التحقق من صلاحيات هذا المستخدم وأجد أنه موجود في مجموعة sudo. هذا يعني أن المهاجم قد حصل بالفعل على السيطرة الكاملة على النظام ويمكنه فعل أي شيء بأعلى الصلاحيات.
درجة CVSS لهذه الثغرة هي 8.8 (عالية الخطورة)، مما يعني أنها يمكن أن تسبب تأثيراً كبيراً على النظام إذا تم استغلالها. هذه الثغرة ذات خطورة عالية، لأنها لا تتطلب صلاحية عالية لاستغلالها. عندما يكون للمهاجم موطئ قدم في النظام (مثلاً، مستخدم منخفض الصلاحية)، يمكنه تصعيد الامتيازات إلى الجذر، مما يجعل هذه الثغرة تهديداً أمنياً محلياً خطيراً، خاصة في البيئات متعددة المستخدمين أو السحابية.
