Документирует и воспроизводит уязвимость аутентификации типа fail-open в SONiC gNMI, при которой пустая карта UserAuth позволяет неаутентифицированные операции gNMI Set и записи gNOI, с использованием лабораторного стенда на loopback.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · sonic-gnmi-noauth
Разбор: https://abraxaslabs.tech/research/sonic-gnmi-noauth
SONiC gNMI f13a08e0440f — SONiC Foundation / sonic-net
Community SONiC NOS. Не Dell Enterprise SONiC. Не SonicWall SonicOS. Комитет не выдаёт CVE. gnmi-native.sh знает, что пропуск --client_auth раньше полностью отключал аутентификацию, поэтому при отсутствии user_auth он принудительно включает режим сертификатов. Fail-closed. Но затем он никогда не передаёт --ca_crt, когда сертификаты отсутствуют. setupFlags сбрасывает сертификат, потому что нет CA. authenticate() считает пустую карту успехом. Записи native и translib остаются скомпилированными (ENABLE_NATIVE_WRITE=y). Два набора флагов для продакшена, один и тот же пропуск: по умолчанию ToR --noTLS --bind_address 127.0.0.1; SmartSwitch DPU --insecure --allow_no_client_auth, пустой bind, все интерфейсы, порт 8080.
Пустой UserAuth после сброса сертификата — это неаутентифицированные записи gNMI Set и gNOI. DPU без сертификатов доступен удалённо на :8080.
| ID | CVE пока нет |
| CWE | CWE-306, CWE-287 |
| CVSS | Критический: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (DPU без сертификатов). ToR по умолчанию — тот же пропуск на 127.0.0.1:8080 (High, локальный). |
| Продукт | sonic-gnmi / sonic-buildimage |
| Затронуто | sonic-gnmi вплоть до master f13a08e0440f; лаунчер 9495839742e4 |
| Аутентификация | отсутствует |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
На SmartSwitch DPU без сертификатов gNMI: из сети, TCP :8080, без JWT, без PAM, без клиентского сертификата. Вызвать gnmi.gNMI/Set (native CONFIG_DB / translib). Вызвать gnoi.debug.Debug. Перезагрузить. Сбросить к заводским настройкам. File.Put в /tmp, /var/tmp, /host.
На ToR/leaf по умолчанию без сертификатов: любой процесс, который может обратиться к 127.0.0.1:8080, делает то же самое. Контейнер gnmi использует сеть хоста, поэтому этот loopback — хостовый.
Это перезапись конфигурации коммутатора и выполнение команд хоста от имени admin без аутентификации. Белый список Debug включает docker, config, redis-cli, sonic-installer, reboot. Пользователь admin по умолчанию входит в docker и %sudo. Это не документированный пароль admin по умолчанию. KillProcess по-прежнему возвращает Unauthenticated при пустом UserAuth. Не используйте это как признак успеха.
Сначала я прочитал SECURITY.md. sonic-net/SONiC — это вики. Код находится в соседних деревьях sonic-net/*. Затем десять поисков на этих пинах: инъекция в CLI, аутентификация REST, gNMI Set, PAM в hostcfgd, RESTCONF, ZTP, Redis/sshd/sudo в образе, значения по умолчанию FEATURE, GCU/SSTI, DHCP/LLDP/SNMP. Без живого коммутатора. Планка была Critical/High.
Большая часть этой планки уже закрыта или не является значением по умолчанию. sonic-restapi — это INCLUDE_RESTAPI ?= n. Продакшн-лаунчер RESTCONF принудительно включает PAM. Хостовый Redis — 127.0.0.1 без requirepass, что является первым шагом, а не находкой. Контейнер gnmi не является опциональным. INCLUDE_SYSTEM_GNMI = y. FEATURE gnmi включён. Host net, host pid, host userns.
Я не поднимал полный образ sonic-vs. Лаборатория представляет собой тонкую gRPC-обёртку над извлечёнными с проверкой SHA256 фрагментами setupFlags и authenticate() из пина f13a08e0440f. Оба слушателя вернули SONIC-GNMI-NOAUTH-WITNESS с auth_enabled=false и enable_native_write=true. Парольный UserAuth без учётных данных — это Unauthenticated. Это и есть настоящий пропуск, а не заглушка, которая всегда завершается успешно.
Уже зафиксированные неверные повороты: KillProcess Unauthenticated (этот RPC уже отклоняет пустой UserAuth — лаборатории требуется пропуск authenticate() на Set-пути); Probe OK, когда парольный UserAuth включён и нет учётных данных (тогда оракул — заглушка); gNOI Debug docker gadget, nsenter payload, reverse shell. Театр. Направлять это на устройство Dell Enterprise SONiC или на SonicWall. Не тот продукт.
cd lab
./run.sh
Нацеливайтесь только на 127.0.0.1:18080 (ToR plaintext) и 127.0.0.1:18081 (DPU TLS-insecure). Тонкий gRPC, а не полный образ DPU. Хэши извлечённых данных закреплены при сборке относительно sonic-gnmi f13a08e0440f.
IOC tor-connect 127.0.0.1:18080 plaintext no-metadata
IOC tor-check witness=SONIC-GNMI-NOAUTH-WITNESS auth_enabled=false enable_native_write=true user_auth_any=false mode=tor
IOC dpu-connect 127.0.0.1:18081 tls-insecure no-client-cert no-metadata
IOC dpu-check witness=SONIC-GNMI-NOAUTH-WITNESS auth_enabled=false enable_native_write=true user_auth_any=false mode=dpu
IOC tor-negative status=UNAUTHENTICATED
IOC dpu-negative status=UNAUTHENTICATED
SUCCESS SONIC-GNMI-NOAUTH who=unauth tor=18080 dpu=18081 SONIC-GNMI-NOAUTH-WITNESS
Если UserAuth пуст после удаления сертификата, не обслуживайте запись Set/gNOI или не слушайте вне loopback. Копируйте UserAuth также на пути --noTLS. Подготовьте сертификаты сервера и CA, чтобы --ca_crt был задан и режим сертификатов не был снят. Не запускайте SmartSwitch DPU без сертификата (--insecure --allow_no_client_auth с пустым CA) на доступном :8080. Оба слушателя должны возвращать Unauthenticated при пустом UserAuth на пути записи.