Příkaz sudo bylo možné obelstít nastavením času

V aktuálních verzích 1.7.10p7 a 1.8.6p7 programu sudo byl řešen bezpečnostní problém CVE-2013-1775. Příkaz sudo bylo možné obelstít nastavením času. Při spuštění příkazu sudo a zadání hesla si sudo poznamená čas zadání hesla a pokud uživatel alespoň jednou za 5 minut příkaz sudo opětovně spouští, tak heslo už není vyžadováno. Spuštěním sudo -k je heslo zapomenuto a při následujícím spuštění příkazu sudo je uživatel opět vyzván k jeho zadání. Problémem bylo, že zapomenutí hesla ve skutečnosti znamenalo vynulování uloženého času, tj. nastavení času na počátek unixového času, tj. nastavení na 1. ledna 1970 01:00.00. Získal-li útočník přístup k počítači, na kterém byl přihlášený uživatel, který předtím úspěšně použil příkaz sudo a útočník mohl s právy tohoto uživatele na počítači změnit čas (v některých distribucích standardně povoleno), stačilo mu nastavit čas na 1. ledna 1970 01:00.00, spustit sudo -k a bez znalosti hesla mohl spouštět s právy administrátora všechny příkazy povolené v /etc/sudoers (v některých distribucích standardně povoleno úplně vše).

6.3.2013 06:58 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[pesspi]

Tak neviem ale na mojom pocitaci moze cas menit len root, ja by utocnik ktory ziska moj normalny pristup zmenil cas?

[Jakub Lucký]

No, v případě propracovaného útoku by šlo zneužít sítě a NTP

[psc]

útočník mohl s právy tohoto uživatele na počítači změnit čas (v některých distribucích standardně povoleno)

V kterých distribucích má ne-root defaultně povoleno měnit čas ?

[Michal Vyskočil]

(v některých distribucích standardně povoleno úplně vše).

Asi ubuntu

[lertimir]

Pokud jsem to pochopil, tak bylo napsáno "přístup k uživateli, který použil sudo", (pak stejně měl práva roota a mohl si změnit nejen čas, ale i jakýkoliv jiný přikaz)

[Tarmaq]

znat heslo uzivatele "franta" jeste prece neznamena, ze muzu po prihlaseni jako "franta" pouzivat sudo, to prece zalezi na nastaveni v /etc/sudoers - vim ze v Ubuntu je to takhle defaultne..

[lertimir]

Získal-li útočník přístup k počítači, na kterém byl přihlášený uživatel, který předtím úspěšně použil příkaz sudo a útočník mohl s právy tohoto uživatele na počítači změnit čas (v některých distribucích standardně povoleno), stačilo mu nastavit čas na 1. ledna 1970 01:00.00,

tohle chápu tak, že se útočník vlomil na uživatele, který použil předtím příkaz sudo, takže v sudoers je a navíc je na něm v čase, kdy už legální majitel sudo použil, takže útočníkovi další sudo příkaz projde bez dotazu na heslo. sudo příkaz tedy může použít i v situaci, kdy se do shellu vlomil bez znalosti hesla, a další sudo příkazy fungují i bez měnění času.

[Ladislav Hagara]

Možný příklad zneužití: sedím v hospodě s notebookem. Potřebuji řešit něco systémového, tak spustím příkaz sudo. Tak je to v dané distribuci doporučeno. Donesou mi večeři. Kámoš by potřeboval na netu něco vyhledat. Spustím sudo -k pro reset hesla a s jistotou, že kámoš nemůže na notebooku nic provést, mu jej půjčím. Ten změní čas na 1. ledna 1970 01:01:01, spustí sudo s příkazem adduser a vytvoří si na mém notebooku účet. Při posledním knedlíku mi na notebooku nastaví zpět správný čas a notebook s poděkováním vrátí.

Normálně by sudo vyžadovalo heslo, byl proveden reset hesla. Reset ale ve skutečnosti znamenal, že si sudo poznačilo čas posledního použití 1. ledna 1970 01:00.00. Kámoš nastavil čas na 1. ledna 1970 01:01:01. Při spuštění sudo adduser nebylo heslo vyžadováno, protože rozdíl časů byl menší než 5 minut.

[pesspi]

> Ten změní čas na 1. ledna 1970 01:01:01

Jak ked nema root pristup a nevie tvoje heslo?

[Ladislav Hagara]

Z oznámení: The other way is by a user logged in to a desktop environment that allows changes to the date and time.
Některá grafická prostředí jsou tak uživatelsky "přátelská", že to prostě povolí.
Ono se často řeší v diskusích: proč mám psát heslo roota, když si chci jenom nastavit správný čas, proč mám psát heslo roota, když si chci jenom přidat tiskárnu.

[Rovano]

V případě času to rozumný člověk nechá na automatice. Tiskárny taky nepřidává jak na běžícím páse, že? A heslo? Otázka 2 vteřin.

[Radek]

Takze kdyz chce pouzivat Linux bezny uzivatel, ktery presel z Windows, tak si sam nemuze zmenit ani cas, nastavit tiskarnu? Takze je to system jen pro odborniky? Na co bude sekretarce dobre znat sudo, nepotrebuje to k praci, proste to pouziva na praci s textem apod. Je pak smutne, ze si sama nemuze nastavit i takove blbosti, to aby pak kazdy kdo chce ve firme usetril a nasadil tam linux, tak aby mel po ruce jeste jednoho odbornika, ktery jim tam bude spoustet prikazy pod rootem. Bezny uzivatel neni odbornik a ani jim nechce byt!

[pavlix]

Takze kdyz chce pouzivat Linux bezny uzivatel, ktery presel z Windows, tak si sam nemuze zmenit ani cas, nastavit tiskarnu?

Záleží na tom, jestli má administrátorské oprávnění.

Takze je to system jen pro odborniky?

Non sequitur.

Na co bude sekretarce dobre znat sudo

Na co bude sekretářce hrát si na ajťáka, švindlovat s časem a přidávat tiskárny?

kazdy kdo chce ve firme usetril a nasadil tam linux, tak aby mel po ruce jeste jednoho odbornika

To zní jako ve firmách s Windows dělaly sekretářky zároveň ajťáky.

Bezny uzivatel neni odbornik a ani jim nechce byt!

Hranici mezi odborníkem a uživatelem má většina linuxových distribucí zvládnutou velmi dobře.

[Jakub Lucký]

Já bych admina ve vaší firmě dělat nechtěl. Jsem zodpovědný za funkčnost systémů a budete na mě křičet, jakmile cokoliv přestane fungovat, ale dovolíte každé ženské, co má počítač místo psacího stroje, aby s ním dělala věci, kterými lze počítač znefunkčnit?

[pavlix]

Některá grafická prostředí jsou tak uživatelsky "přátelská", že to prostě povolí.

Která? Momentálně o žádném nevím a rád bych si to vyzkoušel, popřípadě nahlásil jako bezpečnostní chybu.

proč mám psát heslo roota, když si chci jenom nastavit správný čas

Řešení: NTP, v linuxových distribucích běžně funguje.

proč mám psát heslo roota, když si chci jenom přidat tiskárnu.

Řešení: Nepřidávat tiskárny. Pravda, vyžaduje to trochu práce na straně tiskového systému, nevidím důvod, proč by měl člověk po fyzickém připojení tiskárny (ať už USB nebo Ethernet) ještě oznamovat počítači, že ji přidal (s výjimkou snad uvolnění firewallu pro Multicast DNS). Pro přidání flashky taky nejdu do seznamu přidaných flashek a neklikám na plus.

[lertimir]

Otázka jaké činnosti, které považujeme za "běžné", by se daly provádět bez rootovských práv je celkem důležitá a netriviální. Pokud si vzpomenete tak asi před půl rokem až rokem tady proběhla zprávička (a diskuse), jak Linus prskal, že v openSUSE jeho dcery je potřeba root oprávnění a root heslo, když se dcera potřebovala ve škole připojit k nějaké školní tiskárně. (snad si to dobře pamatuji, hledat se mi to nechtělo)

[pavlix]

Otázka jaké činnosti, které považujeme za "běžné", by se daly provádět bez rootovských práv je celkem důležitá a netriviální.

Možná i proto se této otázky můj komentář nedotýká.

Pokud si vzpomenete tak asi před půl rokem až rokem tady proběhla zprávička (a diskuse), jak Linus prskal, že v openSUSE jeho dcery je potřeba root oprávnění a root heslo, když se dcera potřebovala ve škole připojit k nějaké školní tiskárně.

Pokud si přečteš pečlivěji komentář, na který reaguješ, pravděpodobně zjistíš, že s Linusem v tomto naprosto souhlasím.

[lertimir]

Já můj komentář nepsal jako polemiku hájící jiný názor. Pouze jako poznámku, že tady je dost věcí nedořešených. (Podobně NTP je jistě fajn, ale asi by bylo také zajímavé mít dynamické nastavování NTP serverů/peerů, protože i když mám NTP nastavené, zahibernuji si systém a sednu do letadla, tak po výstupu ve státech mám časové servery dosti daleko.)

[pavlix]

Já můj komentář nepsal jako polemiku hájící jiný názor. Pouze jako poznámku, že tady je dost věcí nedořešených.

To jsem psal už já :).

Podobně NTP je jistě fajn, ale asi by bylo také zajímavé mít dynamické nastavování NTP serverů/peerů, protože i když mám NTP nastavené

To je velmi jednoduché a mám za to, že to některé distribuce používají/používaly.

[Ladislav Hagara]

Ubuntu? Nemohu teď vyzkoušet:
gdbus call --system --dest org.gnome.SettingsDaemon.DateTimeMechanism --object-path / --method org.gnome.SettingsDaemon.DateTimeMechanism.SetTime 0

[Lol Phirae]

To je panečku user-friendly pokrok, "pokročilá" nastavení holt nejsou pro blbce.

[pavlix]

Až na komplikovanou cestu (trojici prefixovaných řetězců) v dbusu je toto ideální způsob, jak něco spolehlivě testovat a tento test předat dalším.

[pesspi]

V ubuntu 10.04 program gdbus nie je, ani cez "apt-cache search gdbus" som ho nenasiel.

[D.A.Tiger]

V kterých distribucích má ne-root defaultně povoleno měnit čas ?

No, v Debian to určitš nebude