Yeni Ubuntu Linux güvenlik baypasları manuel hafifletmeler gerektirir

Ubuntu Linux’un ayrıcalıksız kullanıcı ad alanı kısıtlamalarında üç güvenlik baypası keşfedildi, bu da yerel bir saldırganın çekirdek bileşenlerindeki güvenlik açıklarından yararlanmasını sağlayabilecek.

Sorunlar, yerel olmayan kullanıcıların tam yönetim özelliklerine sahip kullanıcı ad alanları oluşturmalarına ve Ubuntu sürüm 23.10’u etkilemesine izin verir;

Linux kullanıcı ad alanları, kullanıcıların ana bilgisayarda aynı ayrıcalıklara sahip olmadan izole edilmiş bir sanal alan (ad alanı) içinde kök olarak hareket etmelerini sağlar.

Ubuntu, 23.10 sürümüne apparm tabanlı kısıtlamalar ekledi ve ad alanı kötüye kullanımı riskini sınırlamak için 24.04’te varsayılan olarak bunları etkinleştirdi.

Bulut Güvenlik ve Uyum Şirketi Qualys’deki araştırmacılar, bu kısıtlamaların üç farklı şekilde atlanabileceğini buldular.

Araştırmacılar, “Qualys Tru, bu ad alanı kısıtlamalarının üç ayrı baypasını ortaya çıkardı, bu da her biri yerel saldırganların tam yönetim özelliklerine sahip kullanıcı ad alanları oluşturmasını sağladı” diyor.

Araştırmacılar, bu baypasların çekirdekle ilgili güvenlik açıkları ile birleştirildiğinde tehlikeli olduğunu ve sistemin tam kontrolünü elde etmek için yeterli olmadığını belirtiyorlar.

Qualys, aşağıdaki gibi özetlenen üç bypass yöntemi için teknik ayrıntılar sağlar:

1. AA-EXEC aracılığıyla baypas: Kullanıcılardan yararlanabilir AA-EXEC belirli apparmor profilleri altında programların çalıştırılmasına izin veren araç. Bu profillerden bazıları – gibi Üçlü Birlik– kromveya Flatpak – tam özelliklere sahip kullanıcı ad alanlarının oluşturulmasına izin verecek şekilde yapılandırılmıştır. Kullanarak bilgisini çıkarmak komuta etmek AA-EXEC Bu izin veren profillerden biri altında, ayrıcalıklı olmayan bir kullanıcı ad alanı kısıtlamalarını atlayabilir ve bir ad alanındaki ayrıcalıkları artırabilir.
2. Meşgul Kutusu aracılığıyla baypas: Varsayılan olarak hem Ubuntu sunucusuna hem de masaüstüne yüklenen meşgul kutusu kabuğu, sınırsız kullanıcı ad alanı oluşturulmasına izin veren bir Apparmer profili ile ilişkilidir. Bir Saldırgan, Meşgul Kutusu aracılığıyla bir kabuk başlatabilir ve yürütmek için kullanabilir bilgisini çıkarmaktam yönetim özelliklerine sahip bir kullanıcı ad alanı oluşturma.
3. LD_PRELOAD aracılığıyla baypas: Bu teknik, özel paylaşılan bir kütüphaneyi güvenilir bir sürece enjekte etmek için dinamik bağlayıcının LD_PRELOAD ortam değişkenini kullanır. Bir kabuk Nautilus gibi – izin veren bir Apparmer profiline sahip bir programa enjekte ederek, bir saldırgan bu işlemden ayrıcalıklı bir ad alanı başlatabilir ve amaçlanan kısıtlamaları atlayabilir.

Qualys, Ubuntu güvenlik ekibine 15 Ocak’ta bulguları hakkında bilgi verdi ve koordineli bir sürümü kabul etti. Ancak, Meşgul Kutusu Bypass, 21 Mart’ta ayrıntıları yayınlayan güvenlik açığı araştırmacısı Roddux tarafından bağımsız olarak keşfedildi.

Canonical’ın yanıtı ve hafifletmeler

Ubuntu Linux’un arkasındaki organizasyon olan Canonical, Qualys’in bulgularını kabul etti ve BleepingComputer’a Apparmer korumalarında iyileştirmeler geliştirdiklerini doğruladı.

Bir sözcü bize bu bulguları kendi başına güvenlik açıkları olarak değil, derinlemesine savunma mekanizmasının sınırlamaları olarak ele aldıklarını söyledi. Bu nedenle, korumalar, acil güvenlik düzeltmeleri olarak değil, standart sürüm programlarına göre piyasaya sürülecektir.

Resmi Tartışma Forumu’nda (Ubuntu söyleminde) yayınlanan bir bültende şirket, yöneticilerin dikkate alması gereken aşağıdaki sertleşme adımlarını paylaştı:

• AA-EXEC istismarını bloke etmek için çekirdek.apparmor_restrict_unprivileged_unconfined = 1’i etkinleştirin. (varsayılan olarak etkinleştirilmez)
• Ad alanı oluşturulmasına izin veren meşgul kutusu ve nautilus için geniş apparmer profillerini devre dışı bırakın.
• İsteğe bağlı olarak, Nautilus gibi kullanıcı ad alanlarına dayanan uygulamalar için daha katı bir Bwrap Apparmer profili uygulayın.
• Diğer riskli profilleri tanımlamak ve devre dışı bırakmak için AA-status kullanın.