Si s'exploten, aquestes falles poden permetre als atacants obtenir accés no autoritzat a informació confidencial o, en general, causar problemes
Fa poc es va donar a conèixer informació sobre una vulnerabilitat que afecta la biblioteca C estàndard Glibc, catalogada sota «CVE-2023-6246» i una puntuació de 8.4 a l'escala CVSS, va ser identificada per investigadors de Qualys.
la vulnerabilitat CVE-2023-6246 permet la manipulació de l'inici d'aplicacions SUID per executar codi amb privilegis elevats i s'origina en un desbordament de memòria intermèdia en les funcions «vsyslog_internal()» utilitzades en cridar a les funcions «syslog()» i «vsyslog()».
Sobre CVE-2023-6246
Aquest problema se produeix a causa d'un error en intentar generar un nom d'aplicació que és massa llarg mitjançant la macro SYSLOG_HEADER. En intentar expandir un memòria intermèdia basat en un nom llarg, es produeix un desbordament, la qual cosa resulta en l'escriptura de dades al memòria intermèdia original de mida més petita.
Les vulnerabilitats identificades en les funcions syslog i qsort de glibc ressalten un aspecte crític de la seguretat del programari: fins i tot els components més fonamentals i fiables no són immunes a les falles. Les ramificacions d'aquestes vulnerabilitats s'estenen molt més enllà dels sistemes individuals i afecten moltes aplicacions i potencialment milions d'usuaris a tot el món. Aquest article pretén donar llum sobre la naturalesa específica d'aquestes vulnerabilitats, els possibles impactes i les mesures adoptades per mitigar-los.
En organitzar un atac a través de la utilitat SU, un atacant pot canviar el nom del procés quan s'inicia l'aplicació substituint el valor argv[0], que s'utilitza per obtenir informació sobre el nom del programa en enviar al registre i aconseguir un control de sobreescriptura de dades fora del memòria intermèdia assignat. Després, el desbordament es pot utilitzar per sobreescriure l'estructura nss_module a la biblioteca nss per crear una biblioteca compartida i carregar-la com a root
El problema ha estat present des del llançament de glibc 2.37, publicat a l'agost de 2022, el qual va incloure un canvi per manejar la situació d'intentar escriure missatges massa grans. La solució es va actualitzar a glibc 2.36 i als paquets de distribució amb versions anteriors de glibc perquè abordava la vulnerabilitat mentre se solucionava una vulnerabilitat diferent i menys greu. Va resultar que solucionar una vulnerabilitat no perillosa va provocar l?aparició d?un problema crític. És notable esmentar que el 1997 es va informar d'una vulnerabilitat semblant a la funció vsyslog() de la biblioteca libc 5.4.3.
La descoberta de vulnerabilitats en les funcions syslog i qsort de la biblioteca GNU C planteja importants preocupacions de seguretat.
Els investigadors de Qualys que van descobrir la vulnerabilitat van provar diversos sistemes d'instal·lació populars basats en Linux i van confirmar que alguns eren vulnerables, com Debian 12/13, Ubuntu 23.04/23.10 i Fedora 37-39.
Per a la demostrar la vulnerabilitat, els investigadors han desenvolupat un exploit funcional que permet obtenir drets de root manipulant els arguments de la línia de comanda en executar la utilitat SU. L'exploit va demostrar la capacitat d'obtenir drets de root per part d'un usuari sense privilegis i es va executar sota un entorn Fedora 38 completament actualitzat amb tots els mecanismes de protecció habilitats a la configuració predeterminada. La vulnerabilitat només es pot explotar localment, ja que requereix passar més de 1024 bytes a través del paràmetre argv[0] o l'argument ident a la funció openlog().
Per la part de la correcció de la vulnerabilitat, s'esmenta que ja es va incloure al codi base de Glibc i serà part de l'actualització de Glibc 2.39, juntament amb les correccions per a dues vulnerabilitats més (CVE-2023-6779, CVE-2023-6780) que també afecten el codi __vsyslog_internal() i provoquen desbordaments del buffer.
A més, Qualys va advertir sobre la identificació d'un desbordament del buffer en la implementació de la funció qsort(), que no va ser classificada pels desenvolupadors de Glibc com a vulnerabilitat, ja que l'explotació implica l'ús d'una funció de comparació atípica com a argument en trucar a qsort, que torna la diferència dels paràmetres comparats.
Finalment si esteu interessats en poder conèixer més sobre això, podeu consultar l'estat de la vulnerabilitat en pàgines: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo y Slackware
font: https://blog.qualys.com