來自 Qualys Security 的安全專家，最近發(fā)現(xiàn)了新的 Linux 系統(tǒng)漏洞。他們發(fā)現(xiàn)，利用該漏洞可以實現(xiàn)用戶權(quán)限的提升，并可以覆蓋文件系統(tǒng)中的文件。
該高危漏洞 CVE-2017-1000367 （High級別）發(fā)生在 Linux 的 Sudo 命令中的 get_process_ttyname() 函數(shù)中。攻擊者可以利用這個漏洞，讓普通用戶在使用 Sudo 命令獲得臨時權(quán)限時執(zhí)行一些操作，將他們的權(quán)限提升到root級別。在運用 SELinux 機制的系統(tǒng)上，Sudo 用戶可以使用命令行的輸出提升自己的用戶權(quán)限，還可以在文件系統(tǒng)中覆蓋文件系統(tǒng)中的文件（甚至覆蓋由root用戶所擁有的文件）。
?漏洞解析
研究員發(fā)現(xiàn) Linux 系統(tǒng)中 Sudo 的 get_process_ttyname() 有這樣的漏洞：
這個函數(shù)會打開 “ /proc/[pid]/stat ” (man proc)目錄，并從 field 7 (tty_nr) 中讀取設備的 tty 編號。但這些field 是以空格分開的，而 field 2中（comm，command的文件名）可以包含空格(CVE-2017-1000367)。
那么，當我們從符號鏈接 “./ ? ? 1 ” 中執(zhí)行 Sudo 命令時，get_process_ttyname() 就會調(diào)用sudo_ttyname_dev() 來在內(nèi)置的 search_devs[] 中努力尋找并不存在的“1”號 tty設備 。
然后，sudo_ttyname_dev() 開始調(diào)用 sudo_ttyname_scan() 方法，遍歷“／dev”目錄，并以廣度優(yōu)先方式尋找并不存在的 tty 設備“1”。
最后的這個遍歷過程中，我們可以利用漏洞讓當前的用戶偽造自己的 tty 成為文件系統(tǒng)上任意的字符設備，然后在兩個競爭條件下，該用戶就可以將自己的tty偽造成文件系統(tǒng)上的任意文件。
在一個SELinux系統(tǒng)中，如果用戶是通過 Sudo 命令獲得臨時權(quán)限的話，并沒有完全取得該用戶root權(quán)限。由于 relabel_tty() ?(在src/selinux.c中) 在用戶的 tty 和 dup2() 中調(diào)用了 open(O_RDWR|O_NONBLOCK) ，并用在命令行標準輸入輸出中（stdin, stdout,和stderr），那么在這個情況下的 Sudo 用戶就能夠獲取 root 權(quán)限了。
因此利用這個漏洞，sudo用戶就可以用命令行輸出覆蓋文件系統(tǒng)中的任意文件。
Linux 系統(tǒng)問題
這個文件是用在命令行的標準輸入／輸出／錯誤文件之中。如果 “/dev/shm” 之下的符號鏈接在被使用sudo命令打開之前，已經(jīng)替換成另一個文件的連接，就可以通過寫入標準輸出或者錯誤來覆蓋任意文件。這可以通過重寫可信文件（例如etc/shadow或/etc/sudoers）來升級到完全根訪問模式。
該Linux漏洞會影響所有從1.8.6p7到1.8.20的版本，Sudo1.8.20p1版本修復了這個問題。目前，該漏洞根據(jù)CVSS3評級標準記為7.8分。
轉(zhuǎn)載來源：REEBUF
原文地址：http://www.freebuf.com/vuls/136156.html