henryreed/cve-2022-0997Fidelis Netzwerk und Täuschung - Privilegieneskalation durch unsichere Dateiberechtigungen
Der Exploit wurde von der Regierung der Vereinigten Staaten zur öffentlichen Veröffentlichung freigegeben. Besonderer Dank gilt den Soldaten und Regierungsverbindungsstellen, die mit der Genehmigung der Dokumentation für die uneingeschränkte Verbreitung beauftragt waren. Bitte beziehen Sie sich auf die folgenden OTR-Nummern:
Datum: 20220516 0123H UTC
Autor des Exploits: Henry Reed, The Aerospace Corporation
Hersteller-Webseite: https://fidelissecurity.com/
Betroffene Versionen:
Getestet auf:
CVE: CVE-2022-0997
CVE-Beschreibung: Unzureichende Dateiberechtigungen in den Komponenten CommandPost, Collector und Sensor von Fidelis Network and Deception ermöglichen es einem Angreifer mit lokalem, administrativem Zugriff auf die CLI, betroffene Skriptdateien zu ändern, was dazu führen kann, dass bei einer anschließenden Anmeldung durch einen Root-Benutzer beliebige Befehle als Root ausgeführt werden. Die Schwachstelle ist in Fidelis Network and Deception-Versionen vor 9.4.5 vorhanden. Patches und Updates sind verfügbar, um diese Schwachstelle zu beheben.
Skripte im Verzeichnis /etc/profile.d/ werden bei der Anmeldung gestartet. Der Benutzer fidelis ist Eigentümer des Skripts login.sh, was es dem Benutzer fidelis ermöglicht, die Datei beliebig zu ändern. Bei einer nachfolgenden Anmeldung durch einen Root-Benutzer wird dieses Skript gestartet, sodass ein Angreifer beliebigen Code als Root ausführen kann.
Es wird empfohlen, dass betroffene Benutzer von Fidelis Deception oder Fidelis Network ihre Software aktualisieren, um diese Schwachstelle zu beheben. Allen Benutzern wird unabhängig davon, ob sie von dieser Schwachstelle betroffen sind, empfohlen, nach der Erstkonfiguration den Shell-Zugriff auf ihre Fidelis-Produkte zu deaktivieren.
Falls aus irgendeinem Grund keines dieser Dinge möglich ist, wird in diesem Dokument eine Abschwächung für die anfällige Datei beschrieben. Nach den Tests des Autors scheint es, dass Benutzer die Schwachstelle nutzen müssen, um ihre Berechtigungen zu erweitern, bevor sie die beschriebenen Gegenmaßnahmen anwenden können. Daher wird stattdessen dringend empfohlen, Fidelis zu aktualisieren und SSH zu deaktivieren.
Getestet auf:
Falsch konfigurierte Eigentumsberechtigungen für /etc/profile.d/login.sh ermöglichen es dem Benutzer fidelis, in mehreren Fidelis-Produkten Berechtigungen auf Root-Ebene zu erlangen. Skripte in /etc/profile.d werden jedes Mal gestartet, wenn ein Benutzer eine Shell öffnet. Die Datei gehört dem Benutzer fidelis, sodass dieser das Skript beliebig ändern und, wenn sich der Root-Benutzer anmeldet, beliebigen Code ausführen kann, z. B. eine Reverse Shell.
$ vim /etc/profile.d/login.sh
Die Schwachstelle wurde erstmals mit LinPEAS entdeckt, einem Skript zur Aufzählung von Linux-Berechtigungserweiterungen:
Beachten Sie den rot hervorgehobenen Text "You have write privileges over /etc/profile.d/login.sh". Rot hervorgehobene Ausgabe deutet auf hohe Zuversicht hin, dass der Exploit funktionsfähig ist.
Jede potenzielle Kategorie von Exploits, die von LinPEAS aufgedeckt wird, wird von einem Link zu einer Anleitung auf nook.hacktricks.xyz begleitet, die erklärt, wie man die Schwachstelle ausnutzt. Nach einem schnellen Lesen wurde entschieden, dass eine Reverse Shell über Python2 der einfachste Weg wäre, diese Schwachstelle auszunutzen; jeder andere Code hätte jedoch auch verwendet werden können. Der neue Code beginnt bei der if-Anweisung if [[ $(whoami) = root ]]:
Nachdem wir die Reverse Shell zu login.sh hinzugefügt haben, simulieren wir eine Root-Anmeldung, indem wir uns manuell als dieser Benutzer anmelden. Beachten Sie, dass in der realen Welt der Angreifer warten müsste, bis ein Administrator sich manuell als Root-Benutzer anmeldet.
Der Angreifer erhält dann eine Reverse Root-Shell:
Das Ändern der Benutzer- und Gruppenbesitzer von /etc/profile.d/login.sh auf root:root und das nur Gewähren von Lese- und Ausführungsberechtigungen für die Kategorie „andere“ Benutzer auf /etc/profile.d/login.sh würde diese Schwachstelle abschwächen:
