Linux Mint 18.3-19.1 'yelp' コマンドインジェクションのバグ

根本原因

URIハンドラー help://、ghelp://、man:// はファイル /usr/share/applications/yelp.desktop で定義されており、これらのURIハンドラーのいずれかが呼び出されるたびに、Exec=yelp %u を介して /usr/local/bin/yelp が実行されます。

/usr/local/bin/yelp は、受信したURIハンドラーのリクエストを解析する単純なPythonスクリプトです。このスクリプトはまず "gnome-help" と "ubuntu-help" という部分文字列を探し、そのどちらも見つからなかった場合、引数を引用符で囲まずに /usr/local/bin/yelp を実行します。

/usr/local/bin/yelp の内容:

#!/usr/bin/python

import os
import sys

if (len(sys.argv) > 1):
    args = ' '.join(sys.argv[1:])
    if ('gnome-help' in args) and not os.path.exists('/usr/share/help/C/gnome-help'):
        os.system ("xdg-open http://www.linuxmint.com/documentation.php &")
    elif ('ubuntu-help' in args) and not os.path.exists('/usr/share/help/C/ubuntu-help'):
        os.system ("xdg-open http://www.linuxmint.com/documentation.php &")
    else:
        os.system ("/usr/bin/yelp %s" % args)  # uh oh
else:
    os.system ('/usr/bin/yelp')

PoC からシェルへ

実際の悪用には少し工夫が必要でした。Google Chrome はURIエンコード時にスペース \x20 文字、中括弧 {}、プラス記号 +、バッククォート文字 ` などをエンコードするためです。${IFS} は機能しないため、$IFS$() を使えば同様に機能することが判明しました。$() 文によって、$IFS 環境変数が他のASCII文字と連結され、誤って $IFSaddedword などになるのを防ぐからです。

緩和策

概要

yelp.patch は、脆弱なステートメントを os.system ("/usr/bin/yelp %s" % args) から os.system ("/usr/bin/yelp %s" % quote(args)) に変更します。これは shlex ライブラリの quote() メソッドを利用します (https://docs.python.org/3/library/shlex.html#shlex.quote)。

パッチ適用の手順

yelp をパッチするか、削除してください。

yelp のパッチ適用

• patch をインストール: sudo apt install patch
• yelp スクリプトにパッチを適用: sudo patch /usr/local/bin/yelp yelp.patch

yelp と関連する URI ハンドラーの削除

• URI ハンドラーの削除: sudo rm /usr/share/applications/yelp.desktop
• yelp Python スクリプトの削除: sudo rm /usr/local/bin/yelp

[b1ack0wl]