VPL Jail System 至 v4.0.2 被发现包含一个 路径遍历 漏洞，允许任意文件覆盖，并因此实现权限提升至 root 用户。
该漏洞可与 CVE-2024-34312 链式利用，在无需任何事先认证的情况下远程接管 Moodle 实例。
Jail 服务器是一个 C++ 服务器，以非特权用户在沙箱环境中运行不可信代码。服务器在指定端口监听传入连接，并为每个连接派生一个新进程。
jail.cpp 中的 commandUpdate 函数从客户端接收一个文件及其内容的映射。
ProcessMonitor::writeFile 被调用时接收文件名及其内容，并简单地将 jail 用户的主目录与文件名拼接以获取完整路径。
随后使用 Util::writeFile 将文件写入文件系统。
这使得攻击者能够通过路径遍历向文件系统写入任意文件。
攻击者可以利用此漏洞覆盖 /etc/ld.so.preload，将其指向一个共享对象文件的路径，系统上每个动态链接的可执行文件都会加载该共享对象文件，如 此处 所述。该共享对象文件随后可用于以 root 身份执行任意代码，例如生成反向 shell。为了使利用更容易，每当执行 setuid 二进制文件时，该共享对象文件也会被加载，并且对服务器的请求可以包含一个尝试执行 setuid 二进制文件（如 sudo）的脚本，从而确保共享对象文件立即被加载。
在 jail 系统的默认配置中，攻击者不需要任何认证。
一个将 "hello-world.txt" 写入系统根目录的示例载荷如下：
{
"method": "request",
"params": {
"filestodelete": [],
"files": {
"../../../hello-world.txt": "Hello, world!"
},
"fileencoding": {
"../../../hello-world.txt": 0
},
"adminticket": "82350372182271",
"pluginversion": 2021061600,
},
"id": "3-32354-684945600",
}
adminticket 可以通过向 jail 系统发送未经认证的请求轻松获得。尽管名称如此，它实际上只是会话令牌的一种形式。通过将 fileencoding 设置为 1，可以上传 Base64 编码的二进制文件。
以下是有漏洞的代码片段。
bool Jail::commandUpdate(string adminticket, RPC &rpc){
processMonitor pm(adminticket);
try {
mapstruct files = rpc.getFiles();
Logger::log(LOG_INFO,"parse files %lu", (long unsigned int)files.size());
mapstruct fileencoding = rpc.getFileEncoding();
//Save files to execution dir and options, decode data if needed
for(mapstruct::iterator i = files.begin(); i != files.end(); i++){
string name = i->first;
string data = i->second->getString();
if ( fileencoding.find(name) != fileencoding.end()
&& fileencoding[name]->getInt() == 1 ) {
Logger::log(LOG_INFO, "Decoding file %s from b64", name.c_str());
data = Base64::decode(data);
if ( name.length() > 4 && name.substr(name.length() - 4, 4) == ".b64") {
name = name.substr(0, name.length() - 4);
}
}
Logger::log(LOG_INFO, "Write file %s data size %lu", name.c_str(), (long unsigned int)data.size());
pm.writeFile(name, data);
}
return true;
}
catch(...){
// ...
}
return false;
}
void processMonitor::writeFile(string name, const string &data) {
string homePath = getHomePath();
string fullName = homePath + "/" + name;
bool isScript = name.size()>4 && name.substr(name.size()-3) == ".sh";
if (isScript) { //Endline converted to linux
string newdata;
for (size_t i = 0; i < data.size(); i++) {
if (data[i] != '\r') {
newdata += data[i];
} else {
char p = ' ', n = ' ';
if (i > 0) p = data[i-1];
if (i + 1 < data.size()) n = data[i + 1];
if (p != '\n' && n != '\n') newdata += '\n';
}
}
Util::writeFile(fullName, newdata, getPrisonerID(), homePath.size() + 1);
}else{
Util::writeFile(fullName, data, getPrisonerID(), homePath.size() + 1);
}
}
static void Util::writeFile(string name, const string &data,uid_t user = 0,size_t pos = 0){
FILE *fd=fopen(name.c_str(),"wb");
if (fd == NULL) {
string dir = getDir(name);
Logger::log(LOG_DEBUG,"path '%s' dir '%s'",name.c_str(), dir.c_str());
if (dir.size())
createDir(dir,user,pos);
fd = fopen(name.c_str(),"wb");
if (fd == NULL)
throw HttpException(internalServerErrorCode
,"I can't write file");
}
if (data.size() > 0 && fwrite(data.data(), data.size(), 1, fd) != 1) {
fclose(fd);
throw HttpException(internalServerErrorCode
,"I can't write to file");
}
fclose(fd);
if (lchown(name.c_str(),user,user))
Logger::log(LOG_ERR, "Can't change file owner %m");
bool isScript = name.size() > 4 && name.substr(name.size() - 3) == ".sh";
if (chmod(name.c_str(), isScript ? 0700 : 0600))
Logger::log(LOG_ERR, "Can't change file perm %m");
}