ASA-2019-00322 – pam-u2f: Ataque de link simbólico em u2f_keys levando a possíveis vazamento de informações


For the English version of this alert, click here.

Allele Security Alert

ASA-2019-00322

Identificador(es)

ASA-2019-00322, CVE-2019-12209

Título

Ataque de link simbólico em u2f_keys levando a possíveis vazamento de informações

Fabricante(s)

Yubico

Produto(s)

pam-u2f

Versão(ões) afetada(s)

pam-u2f versões anteriores a 1.0.8

Versão(ões) corrigida(s)

pam-u2f versão 1.0.8

Prova de conceito

Desconhecido

Descrição

O arquivo `$HOME/.config/Yubico/u2f_keys` é seguido às cegas pelo módulo PAM. Pode ser um link simbólico apontando para um arquivo arbitrário. O módulo PAM só rejeita arquivos e arquivos não regulares pertencentes a outros usuários além do usuário root ou do usuário a ser autenticado. Mesmo essas verificações só são feitas após a abertura do arquivo, o que pode desencadear certa lógica no kernel que, de outra forma, não é alcançável pelos usuários comuns.

Detalhes técnicos

Se a opção `debug` dos módulos PAM também estiver ativada, a maior parte do conteúdo do arquivo será gravada em stdout, stderr, syslog ou no arquivo de depuração definido. Portanto, isso pode representar um vazamento de informações para acessar, por exemplo, o conteúdo de /etc/shadow, /root/.bash_history ou arquivos sensíveis semelhantes. Além disso, o ataque de link simbólico pode ser usado para usar os arquivos u2f_keys de outros usuários no processo de autenticação.

Por exemplo, use a seguinte linha na stack do PAM:

auth optional pam_u2f.so debug

Em seguida, prepare um link simbólico adequado:

user$ mkdir -p ~/.config/Yubico
user$ ln -s /etc/shadow ~/.config/Yubico/u2f_keys

Em seguida, autentique o usuário em um console de texto:

host login: user
Password: XXX
[...]
debug(pam_u2f): Authorization line: avahi:!:18019::::::
[...]

Observe as linhas de /etc/shadow sendo enviadas no terminal.

Créditos

Matthias Gerstner (SUSE Security Team)

Referência(s)

pam-u2f: CVE-2019-12210: debug_file file descriptor leak, CVE-2019-12209: symlink attack on u2f_keys leading to possible information leak
https://seclists.org/oss-sec/2019/q2/149

Drop privileges by default when opening user-related files
https://github.com/Yubico/pam-u2f/commit/7db3386fcdb454e33a3ea30dcfb8e8960d4c3aa3

Release Notes
https://developers.yubico.com/pam-u2f/Release_Notes.html

pam-u2f
https://developers.yubico.com/pam-u2f/

CVE-2019-12209
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12209

CVE-2019-12209
https://nvd.nist.gov/vuln/detail/CVE-2019-12209

Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.

Última modificação: 8 junho 2019

Não somos responsáveis por qualquer perda de dados, corrupção de dispositivos ou qualquer outro tipo de problema devido ao uso de qualquer informação mencionada em nossos alertas de segurança.