Podatności systemd

W systemd (menedżer systemu i usług działający jako PID 1) nieuprzywilejowane wywołanie IPC z nieprawidłowymi danymi powoduje asercję i zawieszenie wykonania. W wersjach v249 i starszych efektem jest nadpisanie stosu kontrolowaną przez atakującego treścią, a od wersji v250 mechanizm bezpieczeństwa powoduje asercję. Wywołanie IPC dodano w v239, więc starsze wersje nie są podatne.

W systemd w wersjach od 223 do 235, zdalny serwer DNS może odpowiedzieć z niestandardowym rekordem NSEC, co prowadzi do wywołania nieskończonej pętli w funkcji dns_packet_read_type_window() usługi 'systemd-resolved', powodując DoS tej usługi.

W systemd w wersji do 233, rozmiary przekazywane do dns_packet_new w systemd-resolved mogą spowodować przydzielenie zbyt małego bufora. Złośliwy serwer DNS może wykorzystać to poprzez odpowiedź z specjalnie skonstruowanym ładunkiem TCP, aby oszukać systemd-resolved i wymusić przydzielenie zbyt małego bufora, co prowadzi do zapisu dowolnych danych poza jego końcem.

W systemd v228 wystąpiła luka w pliku /src/basic/fs-util.c, która powodowała tworzenie plików suid z uprawnieniami do zapisu dla wszystkich, gdy używane były funkcje timerów systemd. Umożliwia to lokalnym atakującym eskalację uprawnień do poziomu roota.

Podatność w systemd powoduje, że systemd-coredump nie respektuje ustawienia jądra fs.suid_dumpable, co może prowadzić do lokalnego wycieku informacji.

W udev w systemd przed wersją 260 może wystąpić lokalne wykonanie kodu z uprawnieniami roota za pomocą złośliwych urządzeń sprzętowych oraz niesanitarnych danych wyjściowych z jądra.

W systemd w wersjach od 233 do 259 przed 260, w nspawn może wystąpić akcja ucieczki do hosta poprzez spreparowany opcjonalny plik konfiguracyjny.

Odkryto, że usługa systemd korzystająca z właściwości DynamicUser może uzyskać nowe uprawnienia poprzez wykonanie binarek SUID, co pozwala na tworzenie binarek należących do tymczasowej grupy usługi z ustawionym bitem setgid. Lokalny atakujący może wykorzystać tę lukę do uzyskania dostępu do zasobów, które będą.

W systemd odkryto podatność, w której usługa używająca właściwości DynamicUser może utworzyć binarny plik SUID/SGID, który będzie mógł być uruchomiony z tymczasowym UID/GID usługi nawet po jej zakończeniu. Lokalny atakujący może wykorzystać tę lukę, aby uzyskać dostęp do zasobów należących do potencjalnie innego UID/GID.

W systemd przed wersjami 246.15, 247.8, 248.5 i 249.1 w pliku basic/unit-name.c występuje nadmierna alokacja pamięci (przez strdupa i alloca) dla ścieżki kontrolowanej przez lokalnego atakującego, co prowadzi do awarii systemu operacyjnego.

W module NSS nss-mymachines w systemd występuje przepełnienie bufora oparte na stosie w funkcjach getpwnam i getgrnam.

systemd w wersji 233 i wcześniejszych nieprawidłowo przetwarza nazwy użytkowników zaczynające się od cyfry, co skutkuje uruchomieniem usługi z uprawnieniami roota zamiast z zamierzonymi uprawnieniami użytkownika.

systemd-homed zawiera błąd lokalnej eskalacji uprawnień poprzez arbitralne dodanie grupy systemowej do lokalnego, zalogowanego użytkownika zarządzanego przez homed.

Gdy systemd-machined >= v259 (lub v258 z niestandardową polityką polkit, która zezwala na dostęp do `register-machine`) działa na systemie desktopowym, nieuprzywilejowany użytkownik zalogowany w graficznej sesji pulpitu może zabić dowolne procesy, nawet uprzywilejowane. Wersje starsze niż v259 nie są dotknięte, chyba że nieuprzywilejowany dostęp do akcji polkit `register-machine` jest przyznany przez lokalny, niestandardowy plik konfiguracyjny. Wersje starsze niż v258 nie są dotknięte. Niezwiązane z menedżerem usług systemd (pid 1 lub menedżerami sesji użytkownika). systemd-machined nie jest zazwyczaj instalowany domyślnie i jest zazwyczaj w opcjonalnym, osobnym pakiecie (np. systemd-container). Sesje terminalowe lub zdalne (np. ssh) nie są dotknięte.

W systemd wykryto podatność w usłudze systemd-machined, polegającą na niewystarczającej walidacji parametru class w metodzie RegisterMachine D-Bus. Lokalny nieuprzywilejowany użytkownik może wykorzystać tę podatność, próbując zarejestrować maszynę z określoną wartością klasy, co może pozostawić użyteczny obiekt maszyny kontrolowany przez atakującego. Pozwala to atakującemu na wywoływanie metod na uprzywilejowanym obiekcie, prowadząc do wykonania dowolnych poleceń z uprawnieniami roota na hoście.

Podatność w systemd-coredump umożliwia atakującemu wymuszenie awarii procesu SUID i zastąpienie go binarnym plikiem bez uprawnień SUID, aby uzyskać dostęp do zrzutu pamięci oryginalnego uprzywilejowanego procesu. Pozwala to na odczytanie wrażliwych danych, takich jak zawartość pliku /etc/shadow, załadowanych przez oryginalny proces.

Systemd przed wersją 247 nie blokuje wystarczająco lokalnej eskalacji uprawnień w niektórych konfiguracjach Sudo, np. w plikach sudoers zezwalających na wykonanie polecenia "systemctl status". Systemd nie ustawia LESSSECURE=1, więc z programu less mogą być uruchamiane inne programy, a less działa jako root, gdy rozmiar terminala jest zbyt mały, by pokazać pełne wyjście systemctl.

Systemd w wersjach 250 i 251 pozwala lokalnym użytkownikom wywołać zakleszczenie systemd-coredump poprzez wywołanie awarii z długim stosem wywołań. Problem występuje w funkcji parse_elf_object w pliku shared/elf-util.c i wymaga awarii binarki wywołującej tę samą funkcję rekurencyjnie w głęboko zagnieżdżonym katalogu.

W systemd wykryto błąd typu off-by-one w funkcji format_timespan() w pliku time-util.c. Atakujący może podać określone wartości czasu i dokładności, co prowadzi do przepełnienia bufora w format_timespan() i w konsekwencji do odmowy usługi.

W systemd wykryto wadę polegającą na niekontrolowanej rekurencji w narzędziu systemd-tmpfiles. Może to prowadzić do odmowy usługi podczas uruchamiania systemu, gdy w katalogu /tmp utworzono zbyt wiele zagnieżdżonych katalogów.

W systemd w wersji 245 istnieje podatność umożliwiająca przeprowadzenie ataku typu denial-of-service. Specjalnie spreparowany pakiet DHCP FORCERENEW może narazić serwer uruchamiający klienta DHCP na atak fałszowania DHCP ACK. Atakujący może sfałszować parę pakietów FORCERENEW i DHCP ACK, aby zmienić konfigurację serwera.

systemd do wersji v245 nieprawidłowo obsługuje numeryczne nazwy użytkowników, takie jak te składające się z cyfr dziesiętnych lub 0x po którym następują cyfry szesnastkowe, co zostało zademonstrowane przez użycie uprawnień roota, gdy zamierzano uprawnienia konta użytkownika 0x0. Problem wynika z niekompletnej poprawki dla CVE-2017-1000082.

Podatność use-after-free na stercie została znaleziona w systemd przed wersją v245-rc1, gdzie asynchroniczne zapytania Polkit są wykonywane podczas obsługi wiadomości dbus. Lokalny nieuprzywilejowany atakujący może wykorzystać tę wadę do spowodowania awarii usług systemd lub potencjalnie wykonania kodu i podniesienia swoich uprawnień, wysyłając specjalnie spreparowane wiadomości dbus.