最近一個(gè)名為 Nimbuspwn 的漏洞組合被微軟曝光，這個(gè)漏洞可以讓本地攻擊者在 Linux 系統(tǒng)上提升權(quán)限，部署從后門到勒索軟件等惡意軟件。微軟的安全研究人員在今天的一份報(bào)告中披露了這些問題，并指出它們可以被串聯(lián)起來，在一個(gè)脆弱的系統(tǒng)上獲得 root 權(quán)限。

Nimbuspwn 存在于 networkd-dispatcher 組件，該組件用于在 Linux 設(shè)備上發(fā)送連接狀態(tài)變化，目前已經(jīng)以 CVE-2022-29799 和 CVE-2022-29800 進(jìn)行追蹤。

發(fā)現(xiàn)這些漏洞是從“監(jiān)聽系統(tǒng)總線上的消息”開始的，這促使研究人員審查 networkd-dispatcher 的代碼流。微軟研究員Jonathan Bar Or在報(bào)告中解釋說，Nimbuspwn 的安全缺陷是指目錄穿越、符號(hào)鏈接競(jìng)賽和檢查時(shí)間-使用時(shí)間（TOCTOU）競(jìng)賽條件問題。

一個(gè)引起興趣的觀察結(jié)果是，networkd-dispatcher守護(hù)進(jìn)程在啟動(dòng)時(shí)以系統(tǒng)的根權(quán)限運(yùn)行。研究人員注意到，該守護(hù)進(jìn)程使用了一種名為"_run_hooks_for_state"的方法，根據(jù)檢測(cè)到的網(wǎng)絡(luò)狀態(tài)發(fā)現(xiàn)并運(yùn)行腳本。

它使用名為 subprocess.Popen 的進(jìn)程運(yùn)行上述位置的每個(gè)腳本，同時(shí)提供自定義環(huán)境變量。微軟的報(bào)告解釋說，"_run_hooks_for_state"有多個(gè)安全問題。

• 目錄遍歷（CVE-2022-29799）：流程中沒有一個(gè)函數(shù)對(duì)OperATIonalState或AdministrATIveState進(jìn)行消毒。這些狀態(tài)被用來建立腳本路徑，因此一個(gè)狀態(tài)可能包含目錄遍歷模式（例如".../.../"），以逃離"/etc/networkd-dispatcher"基本目錄。
• 符號(hào)鏈接競(jìng)賽：腳本發(fā)現(xiàn)和subprocess.Popen都遵循符號(hào)鏈接。
• 檢查時(shí)間-使用時(shí)間（TOCTOU）競(jìng)賽條件（CVE-2022-29800）：腳本被發(fā)現(xiàn)和它們被運(yùn)行之間有一定時(shí)間。攻擊者可以濫用這個(gè)漏洞，將networkd-dispatcher認(rèn)為由root擁有的腳本替換成不屬于root的腳本。

更多精彩內(nèi)容敬請(qǐng)關(guān)注UC電腦園！