CVE-2020-8290 – Élévation de privilèges dans Backblaze

Résumé

Nom : Élévation de privilèges dans Backblaze
CVE : CVE-2020-8290
Découvreur : Jason Geffner
Fournisseur : Backblaze
Produit : Backblaze pour Windows et Backblaze pour macOS
Risque : Élevé
Date de découverte : 2020-03-13
Date de publication : 2020-09-09
Version corrigée : 7.0.0.439

Introduction

Selon Wikipédia, Backblaze est

"un outil de sauvegarde en ligne qui permet aux utilisateurs Windows et macOS de sauvegarder leurs données dans des centres de données distants. Le service est conçu pour les entreprises et les utilisateurs finaux, offrant un espace de stockage illimité et prenant en charge des tailles de fichiers illimitées."

Les versions vulnérables de Backblaze pour Windows et Backblaze pour macOS contiennent une vulnérabilité à haut risque qui permet à un attaquant local non privilégié d'effectuer une attaque d'élévation de privilèges (EOP) pour devenir SYSTEM/root.

Vulnérabilité

Le processus de service du client Backblaze, nommé bzserv, s'exécute en tant que SYSTEM sur Windows et en tant que root sur macOS. Toutes les deux heures, bzserv exécute un programme nommé bztransmit (exécuté en tant que SYSTEM/root) pour télécharger un fichier XML nommé clientversion.xml depuis le centre de données de Backblaze afin de vérifier si une version plus récente du client Backblaze est disponible au téléchargement, et si c'est le cas, télécharge le programme d'installation de la dernière version du client depuis le centre de données de Backblaze. Le programme d'installation téléchargé est enregistré dans le répertoire %ProgramData%\Backblaze\bzdata\bzupdates sous Windows et dans le répertoire /Library/Backblaze.bzpkg/bzdata/bzupdates ou /Library/Backblaze/bzdata/bzupdates sous macOS. Une fois téléchargé, bztransmit exécute le programme d'installation téléchargé en tant que SYSTEM via ShellExecute() ou en tant que root via system().

Sous Windows, le répertoire %ProgramData%\Backblaze\bzdata est créé lors de l'installation de sorte que les utilisateurs locaux non privilégiés aient un accès en lecture et en écriture. Le processus bztransmit crée le sous-répertoire bzupdates alors qu'il s'exécute en tant que SYSTEM, et les utilisateurs non privilégiés n'ont pas d'accès en lecture ou en écriture à ce sous-répertoire une fois créé. Cependant, le processus bztransmit ne vérifie pas de manière sécurisée l'ACL sur ce répertoire bzupdates s'il existait déjà, et ne met pas à jour l'ACL de manière sécurisée si le répertoire existait déjà. Ainsi, un attaquant local non privilégié peut créer le répertoire %ProgramData%\Backblaze\bzdata\bzupdates avant l'installation de Backblaze, ou créer le sous-répertoire bzupdates sous %ProgramData%\Backblaze\bzdata après l'installation de Backblaze et avant que bztransmit ne crée le sous-répertoire bzupdates. Cela permet à l'attaquant d'être le propriétaire du répertoire bzupdates et d'avoir un contrôle total sur les fichiers de ce répertoire. Ainsi, l'attaquant peut modifier ou remplacer l'exécutable de mise à jour téléchargé après son téléchargement et avant son exécution, permettant ainsi une EOP locale.

Sous macOS, le répertoire /Library/Backblaze.bzpkg/bzdata (ou /Library/Backblaze/bzdata) est créé lors de l'installation avec les permissions 0777 (drwxrwxrwx), de sorte que les utilisateurs locaux non privilégiés aient un accès en lecture et en écriture. Le processus bztransmit crée le sous-répertoire bzupdates avec les permissions 0755 (drwxr-xr-x) alors qu'il s'exécute en tant que root, et les utilisateurs non privilégiés n'ont pas d'accès en lecture ou en écriture à ce sous-répertoire une fois créé. Cependant, le processus bztransmit ne vérifie pas de manière sécurisée les permissions sur ce répertoire bzupdates s'il existait déjà, et ne met pas à jour les permissions de manière sécurisée si le répertoire existait déjà. Ainsi, un attaquant local non privilégié peut créer le sous-répertoire bzupdates sous /Library/Backblaze.bzpkg/bzdata (ou /Library/Backblaze/bzdata) après l'installation de Backblaze et avant que bztransmit ne crée le sous-répertoire bzupdates. Cela permet à l'attaquant d'être le propriétaire du répertoire bzupdates et d'avoir un contrôle total sur les fichiers de ce répertoire. Ainsi, l'attaquant peut modifier ou remplacer l'exécutable de mise à jour téléchargé après son téléchargement et avant son exécution, permettant ainsi une EOP locale.

Preuve de concept

Vidéo : https://youtu.be/OpC6neWd2aM

La vidéo ci-dessus montre deux connexions simultanées à la même machine virtuelle : une session administrateur à gauche, et une session d'attaquant non privilégié à droite. Vous pouvez voir les étapes suivantes dans la vidéo :

1. Attacker exécute net localgroup Administrators pour montrer que le compte de l'attaquant non privilégié (nommé Attacker) n'est pas membre du groupe Administrators.
2. L'attaquant exécute python eop.py (dont le code source se trouve ci-dessous).
3. L'administrateur installe ensuite Backblaze.
4. Six minutes plus tard, le service Backblaze installé télécharge clientversion.xml, que l'exploit écrase.
5. Une minute plus tard, le service Backblaze installé télécharge l'exécutable de mise à jour, que l'exploit écrase.
6. Le service Backblaze exécute ensuite le programme de mise à jour écrasé, qui ajoute le compte Attacker au groupe Administrators.
7. L'attaquant exécute à nouveau net localgroup Administrators pour montrer que le compte Attacker a bien été ajouté au groupe Administrators. L'élévation de privilège locale est terminée.

# Licensed under the Apache License, Version 2.0 (the "License");
# you may not use this file except in compliance with the License.
# You may obtain a copy of the License at
#
#     http://www.apache.org/licenses/LICENSE-2.0
#
# Unless required by applicable law or agreed to in writing, software
# distributed under the License is distributed on an "AS IS" BASIS,
# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
# See the License for the specific language governing permissions and
# limitations under the License.

"""Proof-of-concept exploit for CVE-2020-8290 for Windows."""


__author__ = "[email protected] (Jason Geffner)"
__version__ = "1.0"


import base64
import bz2
import ctypes
import os
import platform
import re
import subprocess
import time


def wait_for_filesystem_object(file_path):
    if os.path.exists(file_path):
        return
    parent_directory = os.path.dirname(file_path)
    if not os.path.exists(parent_directory):
        wait_for_filesystem_object(parent_directory)
    buffer = ctypes.create_string_buffer(1024)
    bytes_returned = ctypes.c_ulong()
    if "." in os.path.basename(file_path):
        notify_filter = 8
    else:
        notify_filter = 2
    h = ctypes.windll.kernel32.CreateFileW(parent_directory, 1, 3, None, 3,
                                           0x02000000, None)
    while not os.path.exists(file_path):
        ctypes.windll.kernel32.ReadDirectoryChangesW(
            h, ctypes.byref(buffer), 1024, False, notify_filter,
            ctypes.byref(bytes_returned), None, None)
    ctypes.windll.kernel32.CloseHandle(h)