Уязвимость ядра Linux позволяет обойти ограничения user namespace

Уязвимость ядра Linux позволяет обойти ограничения user namespace

В ядре Linux выявили новую проблему безопасности — уязвимость позволяет пользователю получить доступ к ресурсам вне текущего пространства имен идентификаторов, обойдя при этом защитные функции.

Брешь, получившая идентификатор CVE-2018-18955, содержится в коде трансляции uid/gid из пространства имен идентификаторов пользователей (user namespace) в основной набор идентификаторов, передает OpenNet.

Таким образом, используя прямое обращение к i-node, можно прочитать содержимое файла /etc/shadow в основном окружении при использовании общей файловой системы в контейнере.

Уязвимость затрагивает версию ядра 4.15, разработчики устранили ее с выходом версий 4.18.19, 4.19.2 и 4.20-rc2. Проблема затрагивает функцию map_write(), которая некорректно обрабатывает вложенные пространства идентификаторов пользователей, в которых используется более 5 диапазонов UID или GID.

Обратить внимание на проблему стоит пользователям дистрибутивов Ubuntu 18.04/18.10, Arch Linux и Fedorа, которые используют ядро 4.15. К счастью, уязвимость не коснулась RHEL и SUSE.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Злоумышленники проникли в корпоративную сеть через эксплойт и хозяйничали там целый месяц на правах администратора домена Active Directory. Доступ к нужному аккаунту они получили, воспользовавшись отсутствием контроля: владелец этой учетной записи умер за три месяца до атаки. Вторжение было обнаружено, когда в сети заработал шифровальщик Nefilim — за короткий срок он сумел поразить более сотни систем.

Вымогательская программа Nefilim, она же Nemty, попала в поле зрения ИБ-экспертов полтора года назад. Список ее жертв включает такие громкие имена, как Whirlpool и Orange. Операторы Nefilim обычно прибегают к двойному шантажу, угрожая публикацией украденных данных в случае неуплаты выкупа. С этой целью они создали специальный сайт — Corporate Leaks.

Новая жертва Nefilim не использует специализированную защиту от взлома  конечных устройств (Endpoint Detection and Response, EDR), но является клиентом Sophos. Столкнувшись с проблемой доступа к важным данным, организация призвала на помощь экспертов. Зловред был быстро найден и обезврежен.

Расследование показало, что точкой входа для авторов атаки послужил уязвимый экземпляр Citrix Storefront 7.15 CU3 — интерфейса, обеспечивающего удаленный доступ к приложениям и виртуальным десктопам в корпоративной сети или из внешнего источника.

В этом ПО был обнаружен целый букет незакрытых уязвимостей — CVE-2019-11634, CVE-2019-13608, CVE-2020-8269, CVE-2020-8270, CVE-2020-8283.

Эксплойт позволил злоумышленникам получить удаленный доступ к сети, который они закрепили, используя вход по RDP. Дальнейшее продвижение по сети им обеспечили Mimikatz и Cobalt Strike — инструменты для пентеста, позволяющие отыскать сохраненные пароли и получить представление об атакуемой инфраструктуре.

Вооружившись добытой информацией, непрошеные гости также добрались до заброшенного аккаунта администратора домена и целый месяц по ночам выкачивали данные, установив клиент файлообменника MEGA. После этого в ход был пущен шифровальщик Nefilim, которого внедрили в сеть жертвы с помощью системы интерфейсов Windows Management Instrumentation (WMI).

Заброшенные аккаунты, со слов экспертов, составляют большую угрозу для корпоративных сетей. Их статус надо обязательно контролировать, особенно когда речь идет об учетной записи администратора домена. В данном случае организация оставила аккаунт сотрудника активным, поскольку его используют некоторые сервисы.

В Sophos это сочли порочной практикой — с этой целью обычно создается учетная запись службы и вводится запрет на вход в диалоговом режиме. А число админ-аккаунтов в организации лучше сократить до минимума.

Снизить риски, по мнению экспертов, помогут следующие нехитрые правила:

  • выдавать разрешения на доступ только для выполнения конкретной задачи или ролевой миссии;
  • незамедлительно отключать аккаунт, если нужда в нем отпала;
  • ввести практику использования аккаунтов службы;
  • запретить вход в неконтролируемые аккаунты в диалоговом режиме;
  • регулярно проводить аудит Active Directory с целью мониторинга активности существующих админ-аккаунтов и выявления случаев внепланового добавления новых пользователей в группу админов домена.
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru