OpenSSH Vulnerability - CVE-2023-38408 📚

Introduction

Une vulnérabilité a été trouvée dans OpenSSH (avant la version 9.3p2). La fonctionnalité PKCS#11 de ssh-agent dans OpenSSH présente un chemin de recherche insuffisamment fiable, conduisant à une exécution de code à distance si un agent est transféré vers un système contrôlé par l'attaquant (le code dans /usr/lib n'est pas nécessairement sûr à charger dans ssh-agent). Cette faille permet à un attaquant qui contrôle la socket de l'agent transféré sur le serveur et qui peut écrire sur le système de fichiers de la machine cliente d'exécuter du code arbitraire avec les privilèges de l'utilisateur exécutant ssh-agent.

Dans l'exemple ci-dessous, nous pouvons brièvement observer les étapes allant de l'exploration à la compromission de l'utilisateur alice.

• Étape 1 - L'utilisateur attaquant se connecte via SSH au serveur.
• Étape 2 - L'utilisateur Alice est également connecté via SSH au serveur.
• Étape 3 - L'attaquant crée un shellcode à envoyer via le processus ssh au serveur cible.
• Étape 4 - Le shellcode envoyé par l'attaquant exploite la vulnérabilité PKCS#11 de ssh-agent et crée un nouveau processus détournant l'accès SSH de l'utilisateur Alice.
• Étape 5 - Toujours via l'accès normal de l'attaquant, il est possible d'exécuter des commandes opérationnelles en tant qu'utilisateur Alice, en accédant à l'exploit créé dans le shellcode via nc localhost 31337.

Comment faire ? Créons le POC

Comme mentionné précédemment, dans ce POC nous utiliserons 2 utilisateurs connectés à un serveur via SSH. Pour suivre les étapes ci-dessous, nous supposons que les 2 utilisateurs ont déjà accès au serveur (SSH).

1. Obtenez le PID de l'agent SSH exécuté sur la machine attaquante distante et exportez-le dans une variable d'environnement. Nous avons également ajouté via ssh-add le fichier linuxx64.elf.stub (stub de démarrage UEFI).