henryreed/cve-2022-0997Fidelis Network and Deception - Escalation di Privilegio tramite Permessi di File Non Sicuri
L'exploit è stato approvato per la pubblicazione dal governo degli Stati Uniti. Un ringraziamento speciale ai militari e ai rappresentanti governativi incaricati di approvare la documentazione per la distribuzione illimitata. Fare riferimento ai seguenti numeri OTR:
Date: 20220516 0123H UTC
Exploit Author: Henry Reed, The Aerospace Corporation
Vendor Homepage: https://fidelissecurity.com/
Versioni interessate:
Testato su:
CVE: CVE-2022-0997
Descrizione CVE: Permessi file impropri nei componenti CommandPost, Collector e Sensor di Fidelis Network and Deception consentono a un attaccante con accesso locale amministrativo alla CLI di modificare file script interessati, il che potrebbe comportare l'esecuzione di comandi arbitrari come root al successivo login di un utente root. La vulnerabilità è presente nelle versioni di Fidelis Network and Deception precedenti alla 9.4.5. Sono disponibili patch e aggiornamenti per risolvere questa vulnerabilità.
Gli script nella directory /etc/profile.d/ vengono avviati al login. L'utente fidelis possiede lo script login.sh, il che consente all'utente fidelis di modificare arbitrariamente il file. Al successivo login di un utente root, questo script viene eseguito, permettendo a un avversario di ottenere l'esecuzione arbitraria di codice come root. Si consiglia agli utenti interessati di Fidelis Deception o Fidelis Network di aggiornare il software per correggere questa vulnerabilità. Si consiglia inoltre a tutti gli utenti, indipendentemente dal fatto che siano stati colpiti da questa vulnerabilità, di disabilitare l'accesso shell ai propri prodotti Fidelis dopo la configurazione iniziale. Se, per qualche motivo, nessuna di queste opzioni è possibile, in questo documento viene descritta una mitigazione per il file vulnerabile. Per quanto riguarda i test dell'autore, sembra che gli utenti debbano usare la vulnerabilità per escalare i privilegi prima di poter applicare le mitigazioni descritte, quindi si consiglia vivamente di aggiornare Fidelis e disabilitare SSH.
Testato su:
Permessi di proprietà configurati erroneamente su /etc/profile.d/login.sh consentono all'utente fidelis di escalare i privilegi a livello di utente root in diversi prodotti Fidelis. Gli script in /etc/profile.d vengono eseguiti ogni volta che un utente apre una shell. Il file è di proprietà dell'utente fidelis, permettendo a quest'ultimo di modificare arbitrariamente lo script e, quando l'utente root effettua il login, eseguire codice arbitrario, come una reverse shell.
$ vim /etc/profile.d/login.sh
La vulnerabilità è stata scoperta inizialmente utilizzando LinPEAS, uno script di enumerazione per l'escalation dei privilegi in Linux:
Notare il testo evidenziato in rosso, "Hai permessi di scrittura su /etc/profile.d/login.sh". L'output evidenziato in rosso indica un'alta confidenza che l'exploit sia funzionante.
Ogni potenziale categoria di exploit segnalata da LinPEAS è accompagnata da un collegamento a una guida su nook.hacktricks.xyz che spiega come sfruttare la vulnerabilità. Dopo una rapida lettura, si è deciso che una reverse shell tramite Python2 sarebbe stato il modo più semplice per sfruttare questa vulnerabilità; tuttavia, qualsiasi altro codice avrebbe potuto essere utilizzato. Il nuovo codice inizia dall'istruzione if if [[ $(whoami) = root ]]:
Dopo aver aggiunto la reverse shell a login.sh, simuliamo un login come root effettuando manualmente l'accesso come quell'utente. Si noti che nel mondo reale, l'attaccante dovrebbe attendere che un amministratore effettui manualmente il login come utente root.
L'attaccante ottiene quindi una reverse shell come root:
Cambiare i proprietari utente e gruppo di /etc/profile.d/login.sh in root:root e consentire solo i permessi di lettura ed esecuzione alla categoria 'altri' di utenti su /etc/profile.d/login.sh mitigherebbe questa vulnerabilità:
