По данным Qualys, одна из уязвимостей может быть использована для повышения привилегий и получения привилегий root.
Исследователи безопасности из компании Qualys обнаружили несколько уязвимостей, затрагивающих систему упаковки и развертывания программного обеспечения Snap компании Canonical.
В своем блоге менеджер по исследованию уязвимостей и угроз компании Qualys Бхарат Джоги объяснил, что они обнаружили множество уязвимостей в функции ограничения Snap в операционных системах Linux, “наиболее важные из которых могут быть использованы для повышения привилегий с целью получения привилегий root”. ”
Джоги добавил, что Snap был разработан компанией Canonical для операционных систем, использующих ядро Linux.
“Пакеты, называемые snaps, и инструмент для их использования, snapd, работают в различных дистрибутивах Linux и позволяют разработчикам программного обеспечения распространять свои приложения непосредственно среди пользователей. Снапы – это автономные приложения, которые запускаются в изолированном пространстве с опосредованным доступом к Snap-confine – это программа, используемая snapd для создания среды выполнения для приложений snap”, – сказал Джоги, отметив, что основной проблемой была CVE-2021-44731.
“Успешная эксплуатация этой уязвимости позволяет любому непривилегированному пользователю получить привилегии root на уязвимом хосте. Исследователи безопасности Qualys смогли независимо проверить уязвимость, разработать эксплойт и получить полные привилегии root на стандартных установках Ubuntu”.
После обнаружения уязвимостей и отправки уведомления в Ubuntu в октябре исследовательская группа Qualys работала с Canonical, Red Hat и другими компаниями над устранением проблемы.
В заявлении для ZDNet компания Canonical сообщила, что на протяжении всей разработки платформы snap они старались обеспечить безопасное использование подсистем, на которые она опирается.
Они отметили, что благодаря автоматическим обновлениям большинство установок распределенной платформы Snap в мире уже исправлены обновлениями.
В дополнение к CVE-2021-44731 компания Qualys обнаружила еще шесть уязвимостей. Они предоставили подробное описание каждой проблемы и призвали всех пользователей как можно скорее установить исправления.
“Как всегда, мы благодарны великому сообществу, частью которого являемся, за ответственное обнаружение и раскрытие этих проблем безопасности. Мы также благодарны специалистам из наших команд по безопасности и мгновенной платформе, которые быстро приняли меры по устранению уязвимости, а также специалистам из других организаций, которые своевременно работали над соответствующими раскрытыми проблемами. Обновления для других систем упаковки также доступны и находятся в процессе развертывания.
Для CVE-2021-44731 не существует смягчающих средств, и Джоги отметил, что хотя уязвимость нельзя использовать удаленно, злоумышленник может войти в систему под именем любого непривилегированного пользователя. Уязвимость может быть быстро использована для получения привилегий root.
Инженер Vulcan Cyber Майк Паркин сказал, что Snap получил достаточно широкое распространение в мире Linux, и несколько крупных производителей распространяют пакеты, использующие его.
Хотя любой эксплойт, который может дать root-доступ, является проблематичным, локальный эксплойт несколько снижает риск; Паркин добавил, что исправление уязвимых систем должно быть приоритетным.
“Это широко распространено и очень опасно, поскольку позволяет киберпреступнику повысить свои привилегии для получения root-доступа. Имея угрозу доступа, субъекты могут распространять вредоносное ПО, устанавливать глубокие подделки, перемещаться в корпоративных сетях и использовать многие другие формы компрометации”, – говорит Бад Брумхед, генеральный директор Viakoo.
“Linux широко используется в качестве встроенной операционной системы для IoT-устройств, которых в организации обычно в 5-10 раз больше, чем традиционных ИТ-устройств. В настоящее время для этой уязвимости не существует средств защиты, но, скорее всего, она будет оставаться эксплуатируемой еще некоторое время пока она будет доступна В отличие от ИТ-систем, в IoT-устройствах часто отсутствуют автоматизированные методы устранения уязвимостей, что дает возможность того, что эта уязвимость будет существовать еще долгое время.
