Vulnerabilidad en OpenSSH - CVE-2023-38408 📚

Introducción

Se encontró una vulnerabilidad en OpenSSH (antes de la versión 9.3p2). La funcionalidad PKCS#11 en el ssh-agent de OpenSSH tiene una ruta de búsqueda insuficientemente confiable, lo que conduce a la ejecución remota de código si un agente se reenvía a un sistema controlado por el atacante (el código en /usr/lib no es necesariamente seguro para cargarlo en ssh-agent). Esta falla permite a un atacante con control del socket del agente reenviado en el servidor y la capacidad de escribir en el sistema de archivos del host cliente ejecutar código arbitrario con los privilegios del usuario que ejecuta el ssh-agent.

En el ejemplo siguiente, podemos observar brevemente los pasos desde la exploración hasta comprometer al usuario alice.

• Paso 1 - El usuario Atacante se conecta por SSH al servidor.
• Paso 2 - El usuario Alice también está conectado por ssh al servidor.
• Paso 3 - El atacante crea un shellcode para enviarlo a través del proceso ssh al servidor objetivo.
• Paso 4 - El shellcode enviado por el atacante explota la vulnerabilidad PKCS#11 del ssh-agent y crea un nuevo proceso secuestrando el acceso ssh del usuario Alice.
• Paso 5 - Aún a través del acceso normal del atacante, es posible ejecutar comandos operativos como el usuario Alice, accediendo al exploit creado en el shellcode mediante nc localhost 31337.

¿Cómo hacerlo? vamos a crear el POC

Como se mencionó anteriormente, en este POC usaremos 2 usuarios conectados a un servidor a través de SSH. Para seguir los pasos a continuación, asumimos que los 2 usuarios ya tienen acceso al servidor (SSH).

1. Obtenga el PID del agente SSH que se ejecuta en la máquina atacante remota y expórtelo a una variable de entorno. También agregamos mediante ssh-add el archivo linuxx64.elf.stub (stub de arranque UEFI)