CVE-2021-3156

CVE-2021-3156

Примечание: Эти инструкции — мои собственные и заметки из стрима, который я провёл. Если что-то не так, дайте мне знать. В первую очередь доверяйте официальным источникам!

Всем привет,

Несколько дней назад в sudo была обнаружена серьёзная переполнение кучи на основе буфера, которую может использовать любой локальный пользователь. Обнаруживший её дал ей имя Baron Samedit. Уязвимость можно использовать для повышения привилегий до root, даже если пользователь не указан в файле sudoers. Для эксплуатации уязвимости не требуется аутентификация пользователя. Она обычно упоминается как CVE-2021-3156.

Посмотрите в действии

Вы можете увидеть её в действии здесь, записанную несколькими исследователями безопасности.

Затронутые версии sudo:

Затронуты версии sudo с 1.8.2 по 1.8.31p2 и с 1.9.0 по 1.9.5p1.

Имейте в виду: Если патчи не были бэкпортированы, как в случае с Ubuntu 18.04, тогда возможно, не требуется версия 1.9.5p2

От TroyWolf

Для пользователей Ubuntu исправленная версия sudo, похоже, зависит от версии вашей ОС. Сайт Ubuntu показывает следующую информацию, специфичную для выпуска, об этой уязвимости:

• Ubuntu 21.04 (Hirsute Hippo) Выпущено (1.9.4p2-2ubuntu2)
• Ubuntu 20.10 (Groovy Gorilla) Выпущено (1.9.1-1ubuntu1.1)
• Ubuntu 20.04 LTS (Focal Fossa) Выпущено (1.8.31-1ubuntu1.2)
• Ubuntu 18.04 LTS (Bionic Beaver) Выпущено (1.8.21p2-3ubuntu1.4)
• Ubuntu 16.04 LTS (Xenial Xerus) Выпущено (1.8.16-0ubuntu1.10)
• Ubuntu 14.04 ESM (Trusty Tahr) Выпущено (1.8.9p5-1ubuntu1.5+esm6)

Вы уязвимы?

ИСПОЛЬЗУЙТЕ С ОСТОРОЖНОСТЬЮ: Откройте терминал и выполните sudo sudo -V чтобы проверить номер версии. Смотрите заметки выше о том, какие версии затронуты, и прочитайте примечание.

Более надёжный способ проверки

Выполните sudoedit -s / чтобы определить, уязвимы ли вы.

Также можно попробовать:

sudoedit -s '\' `perl -e 'print "A" x 65536'` 

bonyt с hackernews указал, что в macOS нет sudoedit, но вы можете создать символическую ссылку на него, так как sudo по сути является многозадачным бинарным файлом:

ln -s `which sudo` sudoedit

а затем вызвать его:

./sudoedit

По ответу можно понять, уязвим ли хост или нет:

Уязвим, если ответ содержит ошибку, начинающуюся с sudoedit: sudoedit: /: not a regular file или segfault Не уязвим (исправлен), если ответ содержит ошибку, начинающуюся с usage:

Есть контейнеры или K8s?

Falco — это проект CNCF с открытым исходным кодом для обнаружения угроз в реальном времени для контейнеров и Kubernetes.

Вы можете использовать правило для обнаружения и предотвращения попыток пользователя.

pawan328 с hackernews указал, что вы можете просмотреть этот пост в блоге для получения дополнительных сведений.

Исправление — ошибка исправлена в sudo 1.9.5p2

Для дистрибутивов Linux (которые могут работать на Pi или другом компьютере), включая WSL

sudo apt-get update
sudo apt-get --only-upgrade install sudo

Посмотрите видео

В котором рассматривается:

00:00​ - Введение

01:29​ - Что такое CVE?

02:22​ - В чём ошибка?

05:30​ - Эксплойт в действии

13:07​ - Затронутые версии sudo

13:48​ - WSL (Подсистема Windows для Linux)

15:11​ - Определение уязвимости через sudo (WSL)

19:21​ - Определение уязвимости через sudo (Ubuntu)

20:53​ - Определение уязвимости с помощью команд

24:58​ - Что делать, если вы используете K8s или контейнеры

27:54​ - Проверка версий sudo

28:30​ - Установка патча на WSL

30:17​ - Установка патча на Ubuntu

32:09​ - Где взять exploit.c?

33:59​ - Установка патча на Ubuntu (часть 2)

38:10​ - Установка патча на WSL (часть 2)

46:35​ - Результаты поиска на GitHub

47:28​ - Установка патча на WSL (часть 3)

Заключение

Я стримлю на Twitch по средам в 12:00 PST и по субботам/воскресеньям в 10:00 PST, или вы можете посмотреть сокращённую версию, подписавшись на мой YouTube.

Оставайтесь на связи со мной в социальных платформах для новостей о безопасности и разработке ПО.

-Twitter | Twitch | Instagram | YouTube | GitHub | Веб-сайт