Bezpečnostní chyba CVE-2018-14665 v X.Org

V X.Org, konkrétně v xorg-serveru 1.19.0 a novějších, byla nalezena bezpečnostní chyba CVE-2018-14665 zneužitelná k lokální eskalaci práv. Chyba byla opravena v upstream xorg-serveru 1.20.3.

25.10.2018 20:33 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[smazáno]

Zneuziti pak vypada tak ze si nalouduju vlastni modul pres -modulepath a Xorg ma suid root ... ?

[Ladislav Hagara]

Bug 1637761#c10

[smazáno]

To je jen prepsani (jakehokoliv) souboru logfilem. Ale jo, tak nejak jsem si to predstavoval, s tim -modulepath tam fakt pokud pustit jakykoliv kod jako root. Solidni, posledni dobou je to jedna verejna bezpecnostni chyba za druhou kolem linux desktopu.

[smazáno]

V prvnim komentari pise "allowing attackers with low privilege access to overwrite system files and subsequently execute arbitrary code."

To me ale fakt nenapada jak, mozna prepsat /etc/passwd a spolehat se na ten slavny not-a-bug v systemd, ktery by pak dal uzivateli roota?

[Jendа]

V tom PoC přepisují /etc/passwd (a dělají to na OpenBSD, kde systemd není). Můžeš ale také třeba přepsat crontab (příp. vytvořit /etc/cron.hourly/cokoli a počkat hodinu). Nebo třeba /etc/sudoers a pořídit si práva na sudo bez hesla.

[smazáno]

Jenze prepsat logfilem Xorg, to je ti k nicemu.

[Ladislav Hagara]

@hackerfantastic, x0rg.sh, ...

[smazáno]

Aha, dik! Ten tricek je v tom parametru "-fp" (default font path), kdy pak Xorg zapise do -logfile presne co mu zadas. Hezky.

[smazáno]

Ale to je pak vysledek:

<logfile .... >
[   841.402] (++) FontPath set to: 
    OUR_PAYLOAD
<logfile .....>

To ten PoC s ld preload prece nebude fungovat.

[smazáno]

Tak to funguje. Ten "bordel" navic se uspesne ignoruje.

[smazáno]

Otazka jestli by to slo obdobne zneuzit pokud by *vsechny* radky v logu zacinali timestamp.

[Jendа]

01:31 <@Jenda`> https://twitter.com/hackerfantastic/status/1055568290112831490
01:33 <@Jenda`> (tl;dr když je Xorg SUID, zapisuje logy jako root; uživatel může způsobit, že se do logu vypíše řádek, který lze interpretovat jako položka /etc/passwd, sudoers nebo crontabu)
01:34 <@Mrkva> omg
01:35 <@Mrkva> nejen ze zapisuje logy jako root, ale souboru ktery zada uzivatel
01:36 <@Mrkva> kdo si sakra myslel, ze je to dobry napad?