OpenSSHの脆弱性 - CVE-2023-38408 📚

はじめに

OpenSSH（9.3p2未満のバージョン）に脆弱性が見つかりました。OpenSSHのssh-agentにおけるPKCS#11機能には、検索パスの信頼性が不十分であり、エージェントが攻撃者の制御するシステムに転送された場合にリモートコード実行を引き起こす可能性があります（/usr/libのコードはssh-agentにロードしても必ずしも安全ではありません）。この欠陥により、サーバー上の転送されたエージェントソケットを制御し、クライアントホストのファイルシステムに書き込み可能な攻撃者が、ssh-agentを実行しているユーザーの権限で任意のコードを実行できます。

以下の例では、調査からaliceユーザーを侵害するまでの手順を簡単に確認できます。

ステップ1 - 攻撃者ユーザーがSSH経由でサーバーに接続します。
ステップ2 - ユーザー Alice もSSH経由でサーバーに接続しています。
ステップ3 - 攻撃者は、SSHプロセスを介してターゲットサーバーに送信するシェルコードを作成します。
ステップ4 - 攻撃者によって送信されたシェルコードは、ssh-agentのPKCS#11脆弱性を悪用し、新しいプロセスを作成してユーザーAliceのSSHアクセスを乗っ取ります。
ステップ5 - 攻撃者の通常のアクセスを通じて、Aliceユーザーとして運用コマンドを実行し、シェルコード内で作成されたエクスプロイトにnc localhost 31337を介してアクセスできます。

どうやって作る？ POCを作成しよう

前述のように、このPOCではSSH経由でサーバーに接続している2人のユーザーを使用します。以下の手順に従うには、2人のユーザーがすでにサーバー（SSH）にアクセスできることを前提としています。

リモートの攻撃者マシンで実行中のSSHエージェントのPIDを取得し、環境変数にエクスポートします。また、ssh-addを使用してファイル linuxx64.elf.stub (UEFIブートスタブ) を追加します。

echo /tmp/ssh-*/agent.*
export SSH_AUTH_SOCK=/tmp/ssh-NqLP6il36s/agent.3452
ssh-add -s /usr/lib/systemd/boot/efi/linuxx64.elf.stub

CVE-2023-38408

人気

CVE-2023-38408は自分に影響しますか？ ❓