CVE-2023-46870

Nordic Semiconductor nRF Sniffer for Bluetooth LE バージョン 3.0.0, 3.1.0, 4.0.0, 4.1.0, および 4.1.1 において、不適切なファイルパーミッションが設定されており、攻撃者が bash および python スクリプトを改変することで権限昇格やコード実行を行うことが可能です。

キーワード: ローカル権限昇格 (LPE), コード実行

影響を受けるプラットフォーム: Linux, MacOS

影響を受けるファイル: extcap/nrf_sniffer_ble.py, extcap/nrf_sniffer_ble.sh, extcap/SnifferAPI/*.py

説明

nRF Sniffer for Bluetooth LE は、Wireshark の拡張機能であり、nRF52840 ドングルおよび開発キットを使用してパケットキャプチャと解析を行うことができます。

再現手順

1. 該当ソフトウェア nRF Sniffer for Bluetooth LE をダウンロードして解凍する。
2. ベンダーのユーザーマニュアル インストールガイド にあるように、ファイルを Wireshark の extcap プラグインフォルダに直接コピーする。スクリプト nrf_sniffer_ble.sh が 777 に設定されている可能性があり、システム上の他のユーザーがスクリプトの内容を編集できることに注意する。

YouTube Video 動画は COVID-19 感染中に録画されたため、話す速度が遅いことをお詫びします。

分析

CVSS:3.0 7.3 High Vector: AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

このパーミッションの問題により、展開されたファイルはグループおよびその他ユーザーが変更可能な権限（777 および 666）に設定されています。これにより、悪意のあるプログラムやユーザーが sudo や root 権限を持たなくても bash および python スクリプトを変更でき、別のユーザーが Wireshark を起動した際にコード実行につながる可能性があります。Wireshark は常に extcap ディレクトリから拡張機能を読み込むため、正規ユーザーが "nRF Sniffer for Bluetooth LE" を使用する意図があるかどうかに関わらず、コードは常に実行されます。

YouTube Video

推奨される緩和策

ファイルのパーミッションを手動で 500 または 400 に修正してください。 例えば、macOS では以下のようにします。

chmod 500 ~/.config/wireshark/extcap/nrf_sniffer_ble.sh 
chmod 400 ~/.config/wireshark/extcap/SnifferAPI/*

履歴

• 2023年11月2日 – CVE ID 予約
• 2023年12月11日 – ベンダー応答、ケースは無効と結論付けられる
• 2024年5月10日 – 公開開示