1.2 CVE-2011-2722

Path Traversal Patch Malware Risk (MITRE)
 

Die Funktion send_data_to_stdout in prnt/hpijs/hpcupsfax.cpp in HP Linux Imaging and Printing (HPLIP) 3.x vor 3.11.10 erlaubt lokalen Benutzern, beliebige Dateien über einen Symlink-Angriff auf die temporäre Datei /tmp/hpcupsfax.out zu überschreiben.
https://nvd.nist.gov/vuln/detail/CVE-2011-2722

Kategorien

CWE-59 : Unzulässige Link-Auflösung vor dem Dateizugriff ("Link Following")
Das Produkt versucht, anhand des Dateinamens auf eine Datei zuzugreifen, verhindert aber nicht, dass dieser Dateiname einen Link oder eine Verknüpfung identifiziert, die zu einer unbeabsichtigten Ressource führt. Manche Leute verwenden den Ausdruck "unsichere temporäre Datei", wenn sie sich auf eine Schwachstelle beziehen, die einem Link folgt, aber andere Schwachstellen können unsichere temporäre Dateien erzeugen, ohne dass ein Symlink beteiligt ist. "Zip slip" ist ein Angriff, bei dem Dateiarchive (z. B. ZIP, tar, rar usw.) verwendet werden, die Dateinamen mit Pfadüberquerungssequenzen enthalten, die dazu führen, dass die Dateien außerhalb des Verzeichnisses geschrieben werden, unter dem das Archiv extrahiert werden soll [REF-1282]. Es wird am häufigsten für die relative Pfadüberquerung (CWE-23) und das Verfolgen von Links (CWE-59) verwendet. Einige Versionen von Perl folgen symbolischen Links, wenn sie mit der Option -e ausgeführt werden, was es lokalen Benutzern erlaubt, beliebige Dateien durch einen Symlink-Angriff zu überschreiben. Texteditor folgt symbolischen Links, wenn er eine Rettungskopie während eines abnormalen Beendens erstellt, was lokalen Benutzern erlaubt, die Dateien anderer Benutzer zu überschreiben. Antivirus-Update erlaubt lokalen Benutzern, beliebige Dateien über einen Symlink-Angriff auf eine Logdatei zu erstellen oder an diese anzuhängen. Ein Symlink-Angriff erlaubt es lokalen Benutzern, Dateien zu überschreiben. Der Fenstermanager geht nicht richtig damit um, wenn bestimmte symbolische Links auf "veraltete" Orte zeigen, was lokalen Benutzern erlauben könnte, beliebige Dateien zu erstellen oder abzuschneiden. Symlink-Schwachstellen zweiter Ordnung Symlink im Python-Programm Setuid product erlaubt das Lesen von Dateien, indem es eine Datei, die gerade bearbeitet wird, durch einen Symlink zur Zieldatei ersetzt und das Ergebnis in Fehlermeldungen ausgibt, wenn das Parsen fehlschlägt. Signal verursacht einen Dump, der Symlinks folgt. Hard-Link-Angriff, Dateiüberschreibung; interessant, weil das Programm gegen Soft-Links prüft. Hard-Link- und möglicherweise symbolische Link-Folgeschwachstellen in eingebetteten Betriebssystemen erlauben lokalen Benutzern, beliebige Dateien zu überschreiben. Der Server erstellt Hardlinks und hebt die Verknüpfung von Dateien als root auf, was lokalen Benutzern erlaubt, Privilegien zu erlangen, indem sie beliebige Dateien löschen und überschreiben. Das Betriebssystem erlaubt es lokalen Benutzern, einen Denial-of-Service auszuführen, indem sie einen Hardlink von einer speziellen Gerätedatei zu einer Datei auf einem NFS-Dateisystem erstellen. Der Webhosting-Manager folgt harten Links, was lokalen Benutzern erlaubt, beliebige Dateien zu lesen oder zu verändern. Das Paketlistensystem erlaubt lokalen Benutzern, beliebige Dateien über einen Hardlink-Angriff auf die Lockfiles zu überschreiben. Harte Link-Race-Bedingung Mail-Client erlaubt entfernten Angreifern, die Benutzerwarnung für ausführbare Anhänge wie .exe, .com und .bat zu umgehen, indem sie eine .lnk-Datei verwenden, die auf den Anhang verweist, auch bekannt als "Stealth Attachment." FTP-Server erlaubt entfernten Angreifern, beliebige Dateien und Verzeichnisse zu lesen, indem sie eine .lnk-Datei (Link) hochladen, die auf die Zieldatei verweist. FTP-Server erlaubt entfernten Angreifern, beliebige Dateien und Verzeichnisse zu lesen, indem sie eine .lnk (Link)-Datei hochladen, die auf die Zieldatei verweist. Browser erlauben entfernten bösartigen Webseiten, beliebige Dateien zu überschreiben, indem sie den Benutzer dazu bringen, eine .LNK (Link)-Datei zweimal herunterzuladen, was die Datei überschreibt, auf die in der ersten .LNK-Datei verwiesen wurde. ".LNK." - .LNK mit nachgestelltem Punkt Rootkits können Dateizugriffsbeschränkungen auf Windows-Kernelverzeichnisse umgehen, indem sie die Funktion NtCreateSymbolicLinkObject verwenden, um einen symbolischen Link zu erstellen Das Dateisystem ermöglicht es lokalen Angreifern, Dateinutzungsaktivitäten über einen harten Link zur Zieldatei zu verbergen, was dazu führt, dass der Link anstelle der Zieldatei im Audit Trail aufgezeichnet wird. Ein Webserver-Plugin erlaubt lokalen Benutzern, beliebige Dateien über einen Symlink-Angriff auf vorhersehbare temporäre Dateinamen zu überschreiben. Ein Libcontainer, der in Docker Engine verwendet wird, erlaubt es lokalen Benutzern, die Containerisierung zu umgehen und über einen Symlink-Angriff in einem Image in eine beliebige Datei auf dem Hostsystem zu schreiben, wenn ein Container neu gestartet wird. "Zip Slip"-Schwachstelle im Go-basierten Open Container Initiative (OCI) Registries-Produkt erlaubt das Schreiben beliebiger Dateien außerhalb des vorgesehenen Verzeichnisses über symbolische Links oder Hardlinks in einem gzipped tarball. "Zip Slip"-Schwachstelle in einem Container-Verwaltungsprodukt ermöglicht das Schreiben beliebiger Dateien außerhalb des vorgesehenen Verzeichnisses über ein Container-Image (.tar-Format) mit Dateinamen, die symbolische Links sind, die auf andere Dateien innerhalb derselben tar-Datei verweisen; die Dateien, auf die verwiesen wird, können jedoch auch symbolische Links zu Zielen außerhalb des vorgesehenen Verzeichnisses sein, wodurch die anfängliche Prüfung umgangen wird.

Referenzen


 

CPE

cpe start ende
Configuration 1
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.9.6:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.10.6:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.11.1:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.11.3a:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.9.4b:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.9.12:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.9.4:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.9.10:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.10.9:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.9.8:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.10.5:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.11.3:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.9.2:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.10.2:*:*:*:*:*:*:*
cpe:2.3:a:hp:linux_imaging_and_printing_project:*:*:*:*:*:*:*:* <= 3.11.5
cpe:2.3:a:hp:linux_imaging_and_printing_project:3.11.7:*:*:*:*:*:*:*


REMEDIERUNG


Patch

Url
http://hplipopensource.com/hplip-web/release_notes.html


EXPLOITS


Exploit-db.com

id beschreibung datum
Keine bekannten Exploits

Andere (github, ...)

Url
Keine bekannten Exploits


CAPEC


Common Attack Pattern Enumerations and Classifications

id beschreibung schweregrad
132 Symlink Attack
Hoch
17 Using Malicious Files
Sehr hoch
35 Leverage Executable Code in Non-Executable Files
Sehr hoch
76 Manipulation von Web-Eingaben bei Dateisystemaufrufen
Sehr hoch


MITRE


Techniken

id beschreibung
T1027.006 Verdeckte Dateien oder Informationen: HTML-Schmuggel
T1027.009 Verdeckte Dateien oder Informationen: Eingebettete Nutzlasten
T1547.009 Autostart-Ausführung beim Booten oder Anmelden: Änderung der Verknüpfung
T1564.009 Artefakte ausblenden: Ressource Forking
T1574.005 Hijack-Ausführungsablauf: Schwachstelle bei den Berechtigungen für ausführbare Installer-Dateien
T1574.010 Hijack-Ausführungsablauf: Schwachstelle in den ServicesFile-Berechtigungen
© 2022 The MITRE Corporation. Dieses Werk wird mit Genehmigung von The MITRE Corporation vervielfältigt und verbreitet.

Abhilfemaßnahmen

id beschreibung
T1027.009 Aktivieren Sie unter Windows 10 ASR-Regeln (Attack Surface Reduction), um die Ausführung von potenziell verschleierten Skripten zu verhindern.
T1547.009 Beschränken Sie die Berechtigungen für die Erstellung symbolischer Links in Windows auf geeignete Gruppen wie Administratoren und die für die Virtualisierung erforderlichen Gruppen. Dies kann über GPO erfolgen: Computerkonfiguration > [Richtlinien] > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisung von Benutzerrechten: Symbolische Links erstellen.
T1564.009 Konfigurieren Sie die Anwendungen so, dass sie die Struktur der Anwendungspakete verwenden, die den Speicherort des Ordners <code>/Resources</code> nutzen.
T1574.005 Schränken Sie die Berechtigungen von Benutzerkonten und -gruppen ein, so dass nur autorisierte Administratoren mit Dienständerungen und Zielpfaden für Binärdienste interagieren können. Verhindern Sie die Ausführung von Benutzerverzeichnissen wie Dateidownload-Verzeichnissen und temporären Verzeichnissen, wo dies möglich ist.
T1574.010 Schränken Sie die Berechtigungen von Benutzerkonten und -gruppen ein, so dass nur autorisierte Administratoren mit Dienständerungen und Zielpfaden für Binärdienste interagieren können. Verhindern Sie die Ausführung von Benutzerverzeichnissen wie Dateidownload-Verzeichnissen und temporären Verzeichnissen, wo dies möglich ist.
© 2022 The MITRE Corporation. Dieses Werk wird mit Genehmigung von The MITRE Corporation vervielfältigt und verbreitet.