В утилите eject,  предназначенной для инициирования операции извлечения съёмного накопителя (например, CD), обнаружена (https://bugs.launchpad.net/ubuntu/+source/eject/+bug/1673627) уязвимость (CVE-2017-6964 (https://security-tracker.debian.org/tracker/CVE-2017-6964)), позволяющая локальному пользователю повысить свои привилегии в системе.  

Утилита dmcrypt-get-device (https://github.com/pexip/os-eject/blob/master/dmcrypt-get-de...) (/usr/lib/eject/dmcrypt-get-device), которая вызывается при запуске eject, выполняется с флагом suid root. Расширенные права требуются только для открытия файла /dev/mapper/control, после чего привилегии сбрасываются и разбор данных от device mapper производится под обычным непривилегированным пользователем. Суть проблемы в том, что разработчики полагали, что выполнение setuid(getuid()) всегда выполнятся успешно и не выполняли проверку возвращаемого значения. Атакующий может создать условия, при которых setuid не сможет быть выполнен (например, из-за превышения лимитов RLimitMEM или RLimitNPROC) и тогда выполнение продолжится без сброса привилегий.

Так как dmcrypt-get-device поставляется только в Debian и Ubuntu, лишь данные дистрибутивы подвержены проблеме (обновления с исправлениями уже (https://security-tracker.debian.org/tracker/CVE-2017-6964) выпущены (https://www.ubuntu.com/usn/usn-3246-1/)).

URL: http://seclists.org/bugtraq/2017/Mar/89
Новость: https://www.opennet.ru/opennews/art.shtml?num=46267

• Уязвимость в утилите eject, позволяющая повысить свои привил...,EuPhobos, 21:22 , 28-Мрт-17
  • Уязвимость в утилите eject, позволяющая повысить свои привил...,Maks, 21:33 , 28-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,mihalych, 22:06 , 28-Мрт-17
      • Уязвимость в утилите eject, позволяющая повысить свои привил...,Crazy Alex, 22:11 , 28-Мрт-17
        • Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 22:36 , 28-Мрт-17
      • Уязвимость в утилите eject, позволяющая повысить свои привил...,A.Stahl, 22:27 , 28-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,Мойша, 23:54 , 28-Мрт-17
  • Уязвимость в утилите eject, позволяющая повысить свои привил...,Нанобот, 11:00 , 29-Мрт-17
• Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 23:02 , 28-Мрт-17
  • Уязвимость в утилите eject, позволяющая повысить свои привил...,Michael Shigorin, 11:28 , 29-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,Andrey Mitrofanov, 11:38 , 29-Мрт-17
• Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 23:44 , 28-Мрт-17
• Уязвимость в утилите eject, позволяющая повысить свои привил...,iZEN, 23:52 , 28-Мрт-17
  • Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 02:37 , 29-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,dimm, 05:19 , 29-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,A.Stahl, 08:37 , 29-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 10:01 , 29-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 13:54 , 29-Мрт-17
• Уязвимость в утилите eject, позволяющая повысить свои привил...,лютый жабист__, 07:05 , 29-Мрт-17
  • Уязвимость в утилите eject, позволяющая повысить свои привил...,kamagan, 07:45 , 29-Мрт-17
• Уязвимость в утилите eject, позволяющая повысить свои привил...,Нанобот, 11:28 , 29-Мрт-17
  • Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 11:35 , 29-Мрт-17
  • Уязвимость в утилите eject, позволяющая повысить свои привил...,freehck, 12:10 , 29-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,Аноним, 16:14 , 29-Мрт-17
    • Уязвимость в утилите eject, позволяющая повысить свои привил...,pavlinux, 04:21 , 31-Мрт-17
      • Уязвимость в утилите eject, позволяющая повысить свои привил...,freehck, 11:35 , 31-Мрт-17

Пытаюсь сделать eject /dev/sde, а флэшка не выпрыгивает из порта, похоже не работает эта программулина..

А в ReactOS выпрыгивает...

Проц с разъёма?

от ужаса?

а-а-а-а!
пипец..удалю сейчас нафиг этот eject
от греха подальше..

Птичка.

Выпрыгивает, но пока нет.

всё выпрыгивает, проверяй кривизну рук

Когда же уже вместо suid начнут использовать Capabilities и технологию сброса неиспользуемых системных вызовов...

> и технологию сброса неиспользуемых системных вызовов...

syscall ejection? ;-)

>> и технологию сброса неиспользуемых системных вызовов...
> syscall ejection? ;-)

coming out sandboxing.  //не выпрыгивало шоб, а не этот ваш друпал.

> setuid(getuid()) всегда выполнятся успешно

Ха! https://github.com/zalora/nixsap/blob/0bded4b541fa6b43026f9c...

% eject
eject: Команда не найдена.

И что это значит, CD уже устарели давно, а в BSD ещё не добавили их поддержку?

во Фре cdcontrol используется.

>CD уже устарели давно, а в BSD ещё не добавили

Значит ещё недостаточно давно... А то ишь, хипстеры-тарапуньки...

Однако в нормально работающих ноутах ещё встречаются :)

> И что это значит, CD уже устарели давно, а в BSD ещё
> не добавили их поддержку?

У вас есть bsdgrep? Нет? И когда вам там добавят поиск?

Блюрэй ещё не устарело.

Блюрэй устарело ещё до того как появилось.

подождите-подождите. конкретно эта уязвимость не позволяет повысить привилегии, она лишь оставляет безобидному процессу dmcrypt-get-device права, которые ему не положены. dmcrypt-get-device не пытается делать что-либо, что могло бы привести в выполнению кода.

Для повышения привилегий нужно найти и проэксплуатировать ещё одну уязвимость далее по коду, что крайне маловероятно...особенно учитывая, что там дальше по коду всего 11 строк (4 из которых - 'return')

По логике это конечно так, но непонятно почему в USN-3246-1 написали "Eject could be made to run programs as an administrator... A local attacker could use this issue to execute code as an administrator." Обычно они наоборот пытаются принизить опасность уязвимости, смягчая словами типа "теоретически" или "потенционально". А тут прямо рубанули, нужно глянуть dmcrypt-get-device из пакета, может из него и правда что-то ещё запускается или какой-нибудь лог в /tmp записывается.

Во-во. Где там в eject можно перехватить управление, чтобы он со своими повышенными привилегиями выполнил моего зловреда? Новость как-то обманывает.

Я подумал так же ещё когда читал заголовок.

$ export PATH=./

$ echo "chmod 7777 /bin/rm" > ./umount;

setuid(getuid()); /* reduce likelyhood of security holes when running setuid */
          if(p_option) {
              execlp("pumount", "pumount", fullName, "-n", NULL);
              execlp("umount", "umount", fullName, "-n", NULL);

$ /bin/rm -rf /*

Опа...

Да, это, пожалуй, сработает. Круто. :)