vlambda博客
学习文章列表

每日 · 简讯

微软365 Defender研究团队发出安全报告指出，他们发现可让本地端黑客提升Linux系统权限的“Nimbuspwn”漏洞（漏洞编号为CVE-2022-29799及CVE-2022-29800），该漏洞是集结许多常见安全漏洞的统称，包括目录游走（Directory Traversal，又称目录遍历弱点）、符号连接竞争（Symlink Race）以及检查时间/使用时间竞争条件（Time-of-Check-Time-of-Use Race Condition）等漏洞。一旦黑客取得更高系统权限，便能将后门程序或勒索软件等恶意软件植入受害系统之中。

Nimbuspwn安全漏洞是在专门负责Linux机器上发送连接状态变更消息的networkd-dispatcher守护程序中发现的。整个过程是研究人员在“监听系统总线消息”之后，决定重新查看networkd-dispatcher程序的程序代码流，最后发现了该漏洞。

研究人员观察到一个值得注意的攻击行为，也即networkd-dispatcher守护程序会在启动时以系统根权限运行，并且根据所侦测到的网络状态，使用“_run_hooks_for_state”方法来发现并运行脚本档。该脚本执行的逻辑包括返回“/etc/networkd-dispatcher/.d”目录中由根用户及根群组所拥有的可执行脚本档。总之，该守护程序会通过所谓“subprocess.Popen”程序运行在上述目录位置中的每个脚本档，同时提供定制化环境变量。

最可怕的是，即使只拥有低系统权限的攻击者，也可通过上述漏洞的串联并发送任意消息来将权限提升到最高等级。原则上，一旦攻击码拥有特权服务或程序下的总线名称，那么就可能成功发动Nimbuspwn漏洞攻击。

据了解，目前networkd-dispatcher守护程序维护人员已经展开能解决Nimbuspwn漏洞的必要更新部署作业。所以Linux用户最好在一拿到系统修补程序后，就立即展开系统更新修补作业。