2022年04月28日
Microsoft 365 Defender 研究團(tuán)隊在 Linux 操作系統(tǒng)中發(fā)現(xiàn)了兩個漏洞，分別被跟蹤為 CVE-2022-29799 和 CVE-2022-29800(統(tǒng)稱為 Nimbuspwn)，可允許攻擊者提升權(quán)限以獲取 root 權(quán)限并安裝惡意軟件。
根據(jù)介紹，這些漏洞可以鏈接在一起以獲得 Linux 系統(tǒng)的 root 權(quán)限，從而允許攻擊者部署有效負(fù)載，如 root 后門，并通過執(zhí)行任意 root 代碼來執(zhí)行其他惡意操作。此外，Nimbuspwn 漏洞可能會被更復(fù)雜的威脅(例如惡意軟件或勒索軟件)用作獲取 root 權(quán)限的載體，從而對易受攻擊的設(shè)備產(chǎn)生更大的影響。
微軟方面表示，其在對以 root 身份運(yùn)行的服務(wù)進(jìn)行代碼審查和動態(tài)分析時，通過監(jiān)聽系統(tǒng)總線(System Bus)上的消息發(fā)現(xiàn)了這些漏洞，并注意到了一個名為 networkd-dispatcher 的 systemd 單元中的一個奇怪的模式。審查 networkd-dispatcher 的代碼流發(fā)現(xiàn)了多個安全問題，可以被用來提升權(quán)限，部署惡意軟件或進(jìn)行其他惡意活動。networkd-dispatcher 由 Clayton Craft 維護(hù)，目前已更新以解決微軟發(fā)現(xiàn)的漏洞，建議受影響的用戶盡快進(jìn)行更新。
微軟在博客中分享了一些有關(guān)受影響組件的信息，其中 D-Bus(Desktop-Bus)組件就是攻擊者的偏好目標(biāo)。它是一個由 freedesktop.org 項(xiàng)目開發(fā)的進(jìn)程間通信通道(IPC)機(jī)制;是一個軟件總線，允許同一終端上的進(jìn)程通過傳輸消息和響應(yīng)消息進(jìn)行通信。
原因在于許多 D-Bus 組件默認(rèn)安裝在流行的桌面 Linux 發(fā)行版上，例如 Linux Mint。由于這些組件以不同的權(quán)限運(yùn)行并響應(yīng)消息，因此 D-Bus 組件對攻擊者來說是一個有吸引力的目標(biāo)。事實(shí)上，過去就曾出現(xiàn)過一些與有缺陷的 D-Bus 服務(wù)相關(guān)的漏洞，包括 USBCreator Elevation of Privilege、Blueman Elevation of Privilege by command injection 以及其他類似情況。
“D-Bus 暴露了一個全局 System Bus 和一個 per-session Session Bus。從攻擊者的角度來看，系統(tǒng)總線更有吸引力，因?yàn)樗ǔ幸?root 身份運(yùn)行的服務(wù)來監(jiān)聽它?！?/span>
