CVE-2021-39273

In XeroSecurity Sn1per 9.0 (kostenlose Version) werden bei der Ausführung der Anwendung unsichere Berechtigungen (0777) gesetzt, die es einem unprivilegierten Benutzer ermöglichen, die Anwendung, Module und Konfigurationsdateien zu ändern. Dies führt zur Ausführung beliebigen Codes mit Root-Rechten.

CVE-2021-39274

In XeroSecurity Sn1per 9.0 (kostenlose Version) werden während der Installation unsichere Verzeichnisberechtigungen (0777) gesetzt, die es einem unprivilegierten Benutzer ermöglichen, die Hauptanwendung und die Anwendungskonfigurationsdatei zu ändern. Dies führt zur Ausführung beliebigen Codes mit Root-Rechten.

Getestet auf: Ubuntu 21.04

Aus den Sn1per-Installationsinsctructions:

KALI/UBUNTU/DEBIAN/PARROT LINUX INSTALL:

git clone https://github.com/1N3/Sn1per
cd Sn1per
bash install.sh

Installation

root@snipertest:~# git clone https://github.com/1N3/Sn1per
Cloning into 'Sn1per'...
remote: Enumerating objects: 2838, done.
remote: Counting objects: 100% (13/13), done.
remote: Compressing objects: 100% (9/9), done.
remote: Total 2838 (delta 5), reused 10 (delta 4), pack-reused 2825
Receiving objects: 100% (2838/2838), 43.18 MiB | 18.76 MiB/s, done.
Resolving deltas: 100% (1950/1950), done.
root@snipertest:~# cd Sn1per/
root@snipertest:~/Sn1per# bash install.sh
                ____
    _________  /  _/___  ___  _____
   / ___/ __ \ / // __ \/ _ \/ ___/
  (__  ) / / // // /_/ /  __/ /
 /____/_/ /_/___/ .___/\___/_/
               /_/

 + -- --=[ https://xerosecurity.com
 + -- --=[ Sn1per by @xer0dayz

[>] This script will install sn1per under /usr/share/sniper. Are you sure you want to continue? (Hit Ctrl+C to exit)
y
[snip]
'/usr/share/sniper/sniper.conf' -> '/root/.sniper.conf'
Please run msfdb as a non-root user
[*] Adding start menu and desktop shortcuts...
[>] Done!
[>] To run, type 'sniper'!
root@snipertest:~/Sn1per#

CVE-2021-39274

Direkt nach der Installation werden die Berechtigungen des Installationsverzeichnisses wie folgt gesetzt:

root@snipertest:~/Sn1per# ls -ld /usr/share/sniper/
❗drwxrwxrwx❗ 10 root root 4096 Aug 16 19:19 /usr/share/sniper/

root@snipertest:~/Sn1per# ls -la /usr/share/sniper/
total 6668
drwxrwxrwx  10 root root    4096 Aug 16 19:19 .
drwxr-xr-x 222 root root   12288 Aug 16 19:41 ..
-rw-r--r--   1 root root   36518 Aug 16 18:33 CHANGELOG.md
-rw-r--r--   1 root root    1269 Aug 16 18:33 Dockerfile
-rw-r--r--   1 root root     306 Aug 16 18:33 LICENSE.md
-rw-r--r--   1 root root   11697 Aug 16 18:33 README.md
-rw-r--r--   1 root root 6491364 Aug 16 18:33 Sn1per.gif
-rw-r--r--   1 root root  159147 Aug 16 18:33 Sn1per.jpg
drwxr-xr-x   2 root root    4096 Aug 16 18:33 bin
drwxr-xr-x   2 root root    4096 Aug 16 19:41 conf
rwxr-xr-x   1 root root   11548 Aug 16 18:33 install.sh
drwxr-xr-x   9 root root    4096 Aug 16 19:42 loot
drwxr-xr-x   2 root root    4096 Aug 16 18:33 modes
drwxr-xr-x  43 root root    4096 Aug 16 19:27 plugins
drwxr-xr-x   2 root root    4096 Aug 16 18:33 pro
-rw-r--r--   1 root root     276 Aug 16 18:33 sn1per.desktop
-rw-r--r--   1 root root    4283 Aug 16 18:33 sn1per.png
-rwxr-xr-x   1 root root   28290 Aug 16 18:33 sniper
-rw-r--r--   1 root root    9752 Aug 16 18:33 sniper.conf
drwxr-xr-x   4 root root    4096 Aug 16 18:33 templates
-rwxr-xr-x   1 root root     980 Aug 16 18:33 uninstall.sh
drwxr-xr-x   2 root root    4096 Aug 16 18:33 wordlists

Obwohl alle Dateien root gehören, erlauben die Berechtigungen des enthaltenden Verzeichnisses, die Dateien zu manipulieren, sodass eine Hintertür in einem der Skripte platziert werden kann. Eine andere, wahrscheinlich heimlichere Änderung wäre, die Hintertür in der Konfigurationsdatei (sniper.conf) zu platzieren, da diese Datei über den Bash-Befehl source eingebunden wird.

Da die Anwendung von root ausgeführt werden muss, was durch einen EUID-Check im Skript sichergestellt wird:

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root"
   exit 1
fi

Das Platzieren einer Hintertür darin führt dazu, dass diese beim nächsten Start der Anwendung mit root-Rechten ausgeführt wird.

Grundursache

Zeilen 37-40 des Installationsskripts:

mkdir -p $INSTALL_DIR 2> /dev/null
chmod 777 -Rf $INSTALL_DIR 2> /dev/null
chown root $INSTALL_DIR/sniper 2> /dev/null
chmod 4777 $INSTALL_DIR/sniper 2> /dev/null

CVE-2021-39273

Different issue than CVE-2021-39274

Beim ersten Ausführen der Anwendung führt das Hauptskript des Scanners sniper die Funktion init aus, die rekursiv die Berechtigungen des Installationsverzeichnisses und seiner Inhalte ändert.

Wie bei CVE-2021-39274 ermöglicht dies die Änderung aller Anwendungsdateien, einschließlich ausführbarer Dateien und Konfigurationen, sowie das Platzieren einer Hintertür darin, die beim nächsten Start der Anwendung durch root mit root-Rechten ausgeführt würde.

Grundursache

Zeilen 464-466 des Hauptskripts:

chmod 777 -Rf $INSTALL_DIR 2> /dev/null
chown root $INSTALL_DIR/sniper 2> /dev/null
chmod 4777 $INSTALL_DIR/sniper 2> /dev/null

Entdeckt von Nikola Pepelishev, August 2021