OpenSSH Vulnerability - CVE-2023-38408 📚

مقدمة

تم العثور على ثغرة أمنية في OpenSSH (قبل الإصدار 9.3p2). تحتوي ميزة PKCS#11 في ssh-agent ضمن OpenSSH على مسار بحث غير موثوق بما فيه الكفاية، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد إذا تمت إعادة توجيه الوكيل (agent) إلى نظام يتحكم به المهاجم (الكود الموجود في /usr/lib ليس آمنًا بالضرورة لتحميله في ssh-agent). يسمح هذا الخلل للمهاجم الذي يتحكم في مقبس الوكيل المعاد توجيهه على الخادم ولديه القدرة على الكتابة في نظام ملفات جهاز الضحية بتنفيذ تعليمات برمجية عشوائية بصلاحيات المستخدم الذي يشغّل ssh-agent.

في المثال أدناه، يمكننا ملاحظة الخطوات بإيجاز بدءًا من الاستكشاف وصولًا إلى اختراق مستخدم أليس.

• الخطوة 1 - المستخدم المهاجم يتصل عبر SSH بالخادم.
• الخطوة 2 - المستخدم أليس متصل أيضًا عبر ssh بالخادم.
• الخطوة 3 - ينشئ المهاجم شيلكود (shellcode) لإرساله عبر عملية ssh إلى الخادم الهدف.
• الخطوة 4 - يستغل الشيلكود الذي أرسله المهاجم ثغرة PKCS#11 في ssh-agent وينشئ عملية جديدة تختطف وصول ssh الخاص بالمستخدم أليس.
• الخطوة 5 - ما زال بإمكان المهاجم، من خلال وصوله العادي، تنفيذ أوامر تشغيلية بصلاحية المستخدم أليس، والوصول إلى الاستغلال المُنشأ داخل الشيلكود عبر nc localhost 31337.

كيف ننفّذها؟ لنقم بإنشاء POC

كما ذُكر سابقًا، سنستخدم في هذا POC مستخدمَين متصلين بخادم عبر SSH. لاتباع الخطوات أدناه، نفترض أن المستخدمين لديهما إمكانية الوصول إلى الخادم (SSH).

1. احصل على PID الخاص بـ ssh-agent الذي يعمل على جهاز المهاجم البعيد وقم بتصديره إلى متغير بيئة. أضفنا أيضًا عبر ssh-add الملف linuxx64.elf.stub (أداة إقلاع UEFI)