CVE-2020-8290 – Privilegieneskalation in Backblaze

Zusammenfassung

Name: Privilegieneskalation in Backblaze
CVE: CVE-2020-8290
Entdecker: Jason Geffner
Anbieter: Backblaze
Produkt: Backblaze für Windows und Backblaze für macOS
Risiko: Hoch
Entdeckungsdatum: 2020-03-13
Veröffentlichungsdatum: 2020-09-09
Behobene Version: 7.0.0.439

Einleitung

Laut Wikipedia ist Backblaze

„ein Online-Backup-Tool, das Windows- und macOS-Benutzern ermöglicht, ihre Daten in entfernte Rechenzentren zu sichern. Der Dienst ist für Unternehmen und Endbenutzer konzipiert, bietet unbegrenzten Speicherplatz und unterstützt unbegrenzte Dateigrößen.“

Verwundbare Versionen von Backblaze für Windows und Backblaze für macOS enthalten eine Sicherheitslücke mit hohem Risiko, die es einem lokalen unprivilegierten Angreifer ermöglicht, einen Privilegieneskalationsangriff (EOP) durchzuführen, um SYSTEM/root zu werden.

Sicherheitslücke

Der Dienstprozess des Backblaze-Clients, genannt bzserv, läuft unter Windows als SYSTEM und unter macOS als root. Alle paar Stunden führt bzserv ein Programm namens bztransmit aus (ausgeführt als SYSTEM/root), um eine XML-Datei namens clientversion.xml aus dem Rechenzentrum von Backblaze herunterzuladen und zu prüfen, ob eine neuere Version des Backblaze-Clients zum Download verfügbar ist. Wenn ja, wird das Installationsprogramm der neuesten Client-Version aus dem Rechenzentrum von Backblaze heruntergeladen. Das heruntergeladene Installationsprogramm wird unter Windows im Verzeichnis %ProgramData%\Backblaze\bzdata\bzupdates und unter macOS im Verzeichnis /Library/Backblaze.bzpkg/bzdata/bzupdates oder /Library/Backblaze/bzdata/bzupdates gespeichert. Nach dem Herunterladen führt bztransmit das heruntergeladene Installationsprogramm unter Windows mittels ShellExecute() als SYSTEM oder unter macOS mittels system() als root aus.

Unter Windows wird das Verzeichnis %ProgramData%\Backblaze\bzdata während der Installation so erstellt, dass lokale unprivilegierte Benutzer Lese- und Schreibzugriff haben. Der bztransmit-Prozess erstellt das Unterverzeichnis bzupdates, während er als SYSTEM läuft, und unprivilegierte Benutzer haben nach der Erstellung keinen Lese- oder Schreibzugriff auf dieses Unterverzeichnis. Allerdings überprüft der bztransmit-Prozess nicht sicher die ACL dieses bzupdates-Verzeichnisses, falls es bereits existierte, und aktualisiert auch nicht sicher die ACL, falls das Verzeichnis bereits existierte. Daher kann ein lokaler unprivilegierter Angreifer das Verzeichnis %ProgramData%\Backblaze\bzdata\bzupdates vor der Installation von Backblaze erstellen oder das bzupdates-Unterverzeichnis unter %ProgramData%\Backblaze\bzdata nach der Installation von Backblaze erstellen, bevor bztransmit das bzupdates-Unterverzeichnis erstellt. Dies ermöglicht dem Angreifer, der Besitzer des bzupdates-Verzeichnisses zu sein und die volle Kontrolle über die Dateien in diesem Verzeichnis zu haben. Somit kann der Angreifer die heruntergeladene Update-Programmdatei nach dem Herunterladen und vor der Ausführung ändern oder ersetzen, was eine lokale Privilegieneskalation ermöglicht.

Unter macOS wird das Verzeichnis /Library/Backblaze.bzpkg/bzdata (oder /Library/Backblaze/bzdata) während der Installation mit den Berechtigungen 0777 (drwxrwxrwx) erstellt, sodass lokale unprivilegierte Benutzer Lese- und Schreibzugriff haben. Der bztransmit-Prozess erstellt das bzupdates-Unterverzeichnis mit den Berechtigungen 0755 (drwxr-xr-x), während er als root läuft, und unprivilegierte Benutzer haben nach der Erstellung keinen Lese- oder Schreibzugriff auf dieses Unterverzeichnis. Allerdings überprüft der bztransmit-Prozess nicht sicher die Berechtigungen dieses bzupdates-Verzeichnisses, falls es bereits existierte, und aktualisiert auch nicht sicher die Berechtigungen, falls das Verzeichnis bereits existierte. Daher kann ein lokaler unprivilegierter Angreifer das bzupdates-Unterverzeichnis unter /Library/Backblaze.bzpkg/bzdata (oder /Library/Backblaze/bzdata) nach der Installation von Backblaze erstellen, bevor bztransmit das bzupdates-Unterverzeichnis erstellt. Dies ermöglicht dem Angreifer, der Besitzer des bzupdates-Verzeichnisses zu sein und die volle Kontrolle über die Dateien in diesem Verzeichnis zu haben. Somit kann der Angreifer die heruntergeladene Update-Programmdatei nach dem Herunterladen und vor der Ausführung ändern oder ersetzen, was eine lokale Privilegieneskalation ermöglicht.

Proof of Concept

Video: https://youtu.be/OpC6neWd2aM

Das obige Video zeigt zwei gleichzeitige Anmeldungen an derselben VM: eine Administratorsitzung auf der linken Seite und eine unprivilegierte Angreifersitzung auf der rechten Seite. Im Video sind die folgenden Schritte zu sehen:

1. Angreifer führt net localgroup Administrators aus, um zu zeigen, dass das unprivilegierte Angreiferkonto (namens Angreifer) kein Mitglied der Gruppe Administrators ist.
2. Angreifer führt python eop.py aus (dessen Quellcode unten steht).
3. Der Administrator installiert dann Backblaze.
4. Sechs Minuten später lädt der installierte Backblaze-Dienst clientversion.xml herunter, das der Exploit überschreibt.
5. Eine Minute später lädt der installierte Backblaze-Dienst die Update-Programmdatei herunter, die der Exploit überschreibt.
6. Der Backblaze-Dienst führt dann die überschriebene Update-Programmdatei aus, die das Konto Angreifer zur Gruppe Administrators hinzufügt.
7. Der Angreifer führt dann erneut net localgroup Administrators aus, um zu zeigen, dass das Konto Angreifer tatsächlich zur Gruppe Administrators hinzugefügt wurde. Lokale Privilegieneskalation abgeschlossen.

# Licensed under the Apache License, Version 2.0 (the "License");
# you may not use this file except in compliance with the License.
# You may obtain a copy of the License at
#
#     http://www.apache.org/licenses/LICENSE-2.0
#
# Unless required by applicable law or agreed to in writing, software
# distributed under the License is distributed on an "AS IS" BASIS,
# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
# See the License for the specific language governing permissions and
# limitations under the License.

"""Proof-of-concept exploit for CVE-2020-8290 for Windows."""


__author__ = "[email protected] (Jason Geffner)"
__version__ = "1.0"


import base64
import bz2
import ctypes
import os
import platform
import re
import subprocess
import time


def wait_for_filesystem_object(file_path):
    if os.path.exists(file_path):
        return
    parent_directory = os.path.dirname(file_path)
    if not os.path.exists(parent_directory):
        wait_for_filesystem_object(parent_directory)
    buffer = ctypes.create_string_buffer(1024)
    bytes_returned = ctypes.c_ulong()
    if "." in os.path.basename(file_path):
        notify_filter = 8
    else:
        notify_filter = 2
    h = ctypes.windll.kernel32.CreateFileW(parent_directory, 1, 3, None, 3,
                                           0x02000000, None)
    while not os.path.exists(file_path):
        ctypes.windll.kernel32.ReadDirectoryChangesW(
            h, ctypes.byref(buffer), 1024, False, notify_filter,
            ctypes.byref(bytes_returned), None, None)
    ctypes.windll.kernel32.CloseHandle(h)