Bezpečnostní chyba v programu GNU Tar (CVE-2016-6321)

Bezpečnostní chyba CVE-2016-6321, přezdívaná POINTYFEATHER, umožňuje útočníkovi vytvořit tar archív, který může při rozbalování vytvořit či přepsat adresáře nebo soubory v adresářích, kam má uživatel přístup, bez ohledu na cestu specifikovanou na příkazové řádce. Lze tak připravit, spíše teoreticky, archív, který pokud je rozbalen pod rootem, umožní útočníkovi ovládnout systém. Podrobnosti, včetně scénáře zneužití, v diskusním listu Full Disclosure.

27.10.2016 23:30 | little.owl | Bezpečnostní upozornění

Komentáře

[pc2005]

Takže vlastně takovej adresářovej little bobby tables .

[koudy]

:D

Dalo mi to dlouho než dorazil vtip z oka do mozku, ale ten smích na celý open space stál za.

Děkuji, vyděšení kolegové moc ne, ale mě jste prodloužil život o dalších pár minut!

[martin-ux]

16.03.2016  contacted secalert@redhat.com for help in coordination
17.03.2016  added end user mitigation via --one-top-level to the 
            advisory
17.03.2016  GNU tar maintainer didn't consider this to be an issue. 
            as a result mitigation in upstream GNU tar appears 
            unlikely

Ma mrzi taky pristup: "GNU tar maintainer didn't consider this to be an issue.". Trvalo 7 mesiacov kym to fixli, to je uz celkom dost :|

[Cabrón]

Ještě to nefixli, upstream to zatím nezačlenil.

[Bgfc]

Toto fungovalo v tare velmi dlho a kazdy o tom vedel. Kazdy vedel, ze sa subory z nedoveryhodneho archivu nerozbaluju pod rootom. A potom sa to akoze opravilo a zrazu mame CVE.

[biolog]

Každý věděl? V dokumentaci to není, takže asi musela fungovat nějaká ústní tradice. Každopádně je to praštěné chování - s bezpečnostními důsledky, tedy bezpečnostní chyba.

Selský rozum sice říká, že pod rootem by se mělo provádět minimum věcí, ale od GNU utility by člověk čekal více, tj. že tu situaci zvládne.

BTW: Existuje nějaký příkaz jak spustit příkaz se skoro žádnými právy? Uživatele nobody nepočítám, pod ním běží programy (a mohou si navzájem ubližovat) autorů, kteří si myslí, že program pod účtem nobody nemůže ničemu ublížit.

[pc2005]

qemu-i386 .

[Cabrón]

Není to 100% neprůstřelný, ale sandbox tohle řeší hlídáním některých volání (fopen a podobně), zápis mimo povolenej adresář nedovolí.

[little.owl]

A nebo radsi tento sandbox.

[Cabrón]

Když je k dispozici selinux, tak jednoznačně.

[Jendа]

Minimálně na desktopu je celkem fuk, jestli útočník dostane roota, nebo „jenom“ uživatele. A jak dostat uživatele tímto způsobem? Můžu mu vyrobit .ssh/authorized_keys, .bashrc, .bash_profile, .xinitrc, .desktop soubor v autorunu desktopového prostředí…

[D.A.Tiger]

Minimálně na desktopu je celkem fuk, jestli útočník dostane roota, nebo „jenom“ uživatele.

Myslim, ze to neni taky vzdycky uplne pravda ;)