Уязвимость в GNU tar позволяет перезаписать сторонние файлы

Уязвимость в GNU tar позволяет перезаписать сторонние файлы

В утилите GNU tar выявлена уязвимость (CVE-2016-6321), позволяющая при раскрытии архива осуществить запись вне целевого пути, заданного в командной строке. Например, запустив распаковку одного файла, может быть переписан другой файл или осуществлено раскрытие файлов в обход заданным маскам и исключениям.

Подготовив специальным образом архив атакующий может добиться записи сторонних файлов при распаковке, например, подменить ключ входа по SSH или сценарии автозапуска bash при распаковке в домашнюю директорию. В случае если архив распаковывается пользователем root возможно организовать перезапись системных файлов и получить полномочия суперпользователя (например, переписав crontab). Интересно, что информация о проблеме была отправлена сопровождающему GNU tar ещё в марте, но из-за специфичных условий её проявления сопровождающий не посчитал указанную проблему уязвимостью, поэтому проблема на момент публикации эксплоита остаётся неисправленной. Представители Red Hat признали проблему и присвоили ей средний (moderate) уровень опасности, пишет opennet.ru.

Уязвимость связана с некорректным вырезанием символов ".." из путей в архиве - при наличии ".." перед распаковкой осуществляется удаление части пути, предшествующей "..", но проверка соответствия маскам осуществляется по исходному варианту. Например, подготовив архив с файлом "etc/motd/../etc/shadow", атакующий может переписать etc/shadow в случае попытки раскрытия файла etc/motd (tar удалит "etc/motd/../", но оставит "etc/shadow", который будет обработан, несмотря на то, что явно инициирована распаковка только etc/motd).

Условием успешного проведения атаки является необходимость соответствия части присутствующего в архиве пути с задаваемой при распаковке целевой директорией, т.е. часть до символов ".." должна совпадать с заданным для распаковки файловым путём или соответствовать маске распаковки, заданной через опцию "--wildcards". Данное ограничение сужает область применения атаки системами с предсказуемыми путями распаковки, например, приложениями распаковывающими архивы в заранее известные директории.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Инфосекьюрити и КриптоПро обеспечат безопасность ЕБС России

«Инфосекьюрити» и «КриптоПро» займутся безопасностью Единой биометрической системы (ЕБС) России. Именно эти две компании выбрал национальный провайдер «Ростелеком».

Таким образом, «Инфосекьюрити» и «КриптоПро» заключили стратегическое партнерство, цель которого — обеспечить информационную безопасность при работе с ЕБС.

Ожидается, что внедрение внедрение типового решения позволит выполнить требования законодательства по части безопасности передаваемых и получаемых данных из ЕБС. На данный момент разработано восемь комплектаций поставки ПАК, отличающиеся по функционалу и стоимости.

«Запуск типового решения для единой биометрической идентификации в банковских структурах — только первый шаг к внедрению биометрической идентификации в России, далее к ЕБС, предположительно, смогут подключаться страховые компании, микрофинансовые организации, пенсионные фонды и другие участники рынка», — прокомментировал генеральный директор «Инфосекьюрити» Кирилл Солодовников.

«В настоящее время наша компания приступает к проведению тематических исследований разработанного Ростелекомом типового решения в соответствии с согласованным системным проектом. Мы планируем, что по результатам этой работы в ближайшем будущем будет получено положительное заключение ФСБ России», — отметил директор по продажам и развитию бизнеса «КриптоПро» Павел Луцик.

Напомним, что многие банки не успели уложиться в срок и обеспечить сбор биометрических данных россиян в 20% своих отделений. Теперь у Центрального банка России есть основания для введения санкций  в отношении провинившихся кредитных организаций.

А в феврале ЦБ обозначил рекомендации по защите биометрических данных россиян. Регулятор предложил кредитным организациям информировать регулятор обо всех инцидентах, которые возникнут на этапе работы с биометрическими данными.

Государственный оператор «Ростелеком» в том же месяце предложил организовать сбор биометрии в многофункциональных центрах предоставления госуслуг (МФЦ).

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru