OpenSSH-Sicherheitslücke - CVE-2023-38408 📚

Einleitung

Eine Sicherheitslücke wurde in OpenSSH (vor Version 9.3p2) gefunden. Die PKCS#11-Funktion im ssh-agent von OpenSSH hat einen unzureichend vertrauenswürdigen Suchpfad, was zu Remote-Codeausführung führt, wenn ein Agent an ein vom Angreifer kontrolliertes System weitergeleitet wird (der Code in /usr/lib ist nicht unbedingt sicher zum Laden in ssh-agent). Dieser Fehler ermöglicht es einem Angreifer mit Kontrolle über den weitergeleiteten Agent-Socket auf dem Server und der Fähigkeit, auf das Dateisystem des Client-Hosts zu schreiben, beliebigen Code mit den Berechtigungen des Benutzers auszuführen, der den ssh-agent ausführt.

Im folgenden Beispiel können wir kurz die Schritte von der Erkundung bis zur Kompromittierung des Benutzers Alice beobachten.

• Schritt 1 - Der Angreifer verbindet sich über SSH mit dem Server.
• Schritt 2 - Der Benutzer Alice ist ebenfalls über SSH auf dem Server verbunden.
• Schritt 3 - Der Angreifer erstellt Shellcode, um ihn über den SSH-Prozess an den Zielserver zu senden.
• Schritt 4 - Der vom Angreifer gesendete Shellcode nutzt die PKCS#11-Schwachstelle des ssh-agent aus und erstellt einen neuen Prozess, der den SSH-Zugriff des Benutzers Alice kapert.
• Schritt 5 - Über den normalen Zugriff des Angreifers ist es möglich, Betriebsbefehle als Benutzer Alice auszuführen, indem der im Shellcode erstellte Exploit über nc localhost 31337 aufgerufen wird.

Wie geht das? Erstellen wir den POC

Wie bereits erwähnt, werden wir in diesem POC zwei Benutzer verwenden, die über SSH mit einem Server verbunden sind. Um den folgenden Schritten zu folgen, gehen wir davon aus, dass die beiden Benutzer bereits Zugriff auf den Server (SSH) haben.

1. Ermitteln Sie die PID des SSH-Agenten, der auf dem entfernten Angreiferrechner läuft, und exportieren Sie sie in eine Umgebungsvariable. Wir haben auch über ssh-add die Datei linuxx64.elf.stub (UEFI-Boot-Stub) hinzugefügt.