1.2 CVE-2013-6891

Exploit Path Traversal Patch

lppasswd dans CUPS avant 1.7.1, lorsqu'il est exécuté avec des privilèges setuid, permet aux utilisateurs locaux de lire des parties de fichiers arbitraires via une variable d'environnement HOME modifiée et une attaque par lien symbolique impliquant .cups/client.conf.
https://nvd.nist.gov/vuln/detail/CVE-2013-6891

Catégories

CWE-59 : Résolution incorrecte des liens avant l'accès aux fichiers ("Link Following")
Le produit tente d'accéder à un fichier en se basant sur le nom du fichier, mais il n'empêche pas correctement ce nom de fichier d'identifier un lien ou un raccourci qui mène à une ressource non souhaitée. Certaines personnes utilisent l'expression "fichier temporaire non sécurisé" en référence à une faiblesse de suivi de lien, mais d'autres faiblesses peuvent produire des fichiers temporaires non sécurisés sans aucune implication de lien symbolique. Le "Zip slip" est une attaque qui utilise des archives de fichiers (par exemple, ZIP, tar, rar, etc.) qui contiennent des noms de fichiers avec des séquences de traversée de chemin qui font que les fichiers sont écrits en dehors du répertoire dans lequel l'archive est censée être extraite [REF-1282]. Il est le plus souvent utilisé pour la traversée de chemins relatifs (CWE-23) et le suivi de liens (CWE-59). Certaines versions de Perl suivent les liens symboliques lorsqu'elles sont exécutées avec l'option -e, ce qui permet aux utilisateurs locaux d'écraser des fichiers arbitraires via une attaque par lien symbolique. Un éditeur de texte suit des liens symboliques lors de la création d'une copie de secours pendant une sortie anormale, ce qui permet aux utilisateurs locaux d'écraser les fichiers d'autres utilisateurs. La mise à jour de l'antivirus permet aux utilisateurs locaux de créer ou d'ajouter des fichiers arbitraires via une attaque par lien symbolique sur un fichier journal. L'attaque symlink permet aux utilisateurs locaux d'écraser des fichiers. Le gestionnaire de fenêtres ne gère pas correctement le cas où certains liens symboliques pointent vers des emplacements "stale", ce qui pourrait permettre aux utilisateurs locaux de créer ou de tronquer des fichiers arbitraires. Vulnérabilités des liens symboliques de second ordre Vulnérabilités des liens symboliques de second ordre Lien symbolique dans le programme Python Le produit Setuid permet la lecture de fichiers en remplaçant un fichier en cours d'édition par un lien symbolique vers le fichier ciblé, en divulguant le résultat dans les messages d'erreur lorsque l'analyse syntaxique échoue. Le signal provoque un dump qui suit les liens symboliques. Attaque par lien dur, écrasement de fichier ; intéressant car le programme vérifie les liens souples Les vulnérabilités de suivi de lien dur et éventuellement de lien symbolique dans le système d'exploitation embarqué permettent aux utilisateurs locaux d'écraser des fichiers arbitraires. Le serveur crée des liens durs et délient les fichiers en tant que root, ce qui permet aux utilisateurs locaux d'obtenir des privilèges en supprimant et écrasant des fichiers arbitraires. Le système d'exploitation permet aux utilisateurs locaux de mener un déni de service en créant un lien dur d'un fichier spécial de périphérique vers un fichier sur un système de fichiers NFS. Le gestionnaire d'hébergement Web suit des liens durs, ce qui permet aux utilisateurs locaux de lire ou de modifier des fichiers arbitraires. Le système de liste de paquets permet aux utilisateurs locaux d'écraser des fichiers arbitraires via une attaque par lien dur sur les fichiers de verrouillage. Condition de course de lien dur Le client de messagerie permet aux attaquants distants de contourner l'avertissement de l'utilisateur pour les pièces jointes exécutables telles que .exe, .com et .bat en utilisant un fichier .lnk qui fait référence à la pièce jointe, alias "Stealth Attachment.". Le serveur FTP permet aux attaquants distants de lire des fichiers et des répertoires arbitraires en téléchargeant un fichier .lnk (lien) qui pointe vers le fichier cible. Un serveur FTP permet à des attaquants distants de lire des fichiers et des répertoires arbitraires en téléchargeant un fichier .lnk (lien) qui pointe vers le fichier cible. Le navigateur permet aux sites Web malveillants distants d'écraser des fichiers arbitraires en incitant l'utilisateur à télécharger deux fois un fichier .lnk (lien), qui écrase le fichier référencé dans le premier fichier .lnk. ".LNK." - .LNK avec point de fin Les rootkits peuvent contourner les restrictions d'accès aux fichiers des répertoires du noyau Windows en utilisant la fonction NtCreateSymbolicLinkObject pour créer un lien symbolique Le système de fichiers permet aux attaquants locaux de masquer les activités d'utilisation des fichiers via un lien dur vers le fichier cible, ce qui entraîne l'enregistrement du lien dans la piste d'audit au lieu du fichier cible. Un plugin de serveur Web permet aux utilisateurs locaux d'écraser des fichiers arbitraires via une attaque par lien symbolique sur des noms de fichiers temporaires prévisibles. Un Libcontainer utilisé dans Docker Engine permet aux utilisateurs locaux d'échapper à la conteneurisation et d'écrire dans un fichier arbitraire sur le système hôte via une attaque par lien symbolique dans une image lors du redémarrage d'un conteneur. La vulnérabilité "Zip Slip" dans le produit Open Container Initiative (OCI) registries basé sur Go permet d'écrire des fichiers arbitraires en dehors du répertoire prévu via des liens symboliques ou des liens durs dans un tarball gzippé. La vulnérabilité "Zip Slip" dans un produit de gestion de conteneurs permet d'écrire des fichiers arbitraires en dehors du répertoire prévu via une image de conteneur (format .tar) dont les noms de fichiers sont des liens symboliques qui pointent vers d'autres fichiers dans le même fichier tar ; cependant, les fichiers pointés peuvent également être des liens symboliques vers des destinations en dehors du répertoire prévu, contournant ainsi la vérification initiale.

Références

CONFIRM Patch Exploit

http://advisories.mageia.org/MGASA-2014-0021.html
http://www.cups.org/blog.php?L704
http://www.cups.org/str.php?L4319 Exploit Patch

MANDRIVA

MDVSA-2014:015

SECUNIA

56531 Vendor Advisory

UBUNTU

USN-2082-1

CPE

ProHacktive améliore en permanence les entrées CVE du Nist afin d'éviter les faux positifs. Cette CVE a été modifiée et vous trouverez un devant chaque CPE modifiés.

cpe	start	end
Configuration 1
cpe:2.3:a:apple:cups:1.7:rc1::::::
cpe:2.3:a:apple:cups::::::::		<= 1.7.0
cpe:2.3:a:apple:cups:1.7.1:b1::::::
Configuration 2
cpe:2.3:o:canonical:ubuntu_linux:12.10:::::::*
cpe:2.3:o:canonical:ubuntu_linux:13.04:::::::*
cpe:2.3:o:canonical:ubuntu_linux:13.10:::::::*

REMEDIATION

Patch

Url
http://www.cups.org/str.php?L4319

EXPLOITS

Exploit-db.com

id	description	date
Pas d'exploit connu

Autres (github, ...)

Url
http://www.cups.org/str.php?L4319

CAPEC

Common Attack Pattern Enumerations and Classifications

id	description	sévérité
132	Symlink Attack Un adversaire positionne un lien symbolique de telle sorte que l'utilisateur ou l'application ciblé(e) accède à l'extrémité du lien, en supposant qu'il ou elle accède à un fichier portant le nom du lien. [Identifier la cible] L'adversaire identifie l'application cible en déterminant si la vérification est suffisante avant d'écrire des données dans un fichier et de créer des liens symboliques vers des fichiers dans différents répertoires. [Essayer de créer des liens symboliques vers différents fichiers] L'adversaire utilise ensuite diverses techniques, telles que la surveillance ou la supposition, pour créer des liens symboliques vers les fichiers auxquels l'application cible accède dans les répertoires identifiés lors de la phase d'exploration. [L'application cible opère sur des liens symboliques créés vers des fichiers sensibles] L'adversaire est capable de créer des liens symboliques vers des fichiers sensibles pendant que l'application cible opère sur le fichier.	Haute
17	Utilisation de fichiers malveillants Une attaque de ce type exploite la configuration d'un système qui permet à un adversaire soit d'accéder directement à un fichier exécutable, par exemple par le biais d'un accès shell, soit, dans le pire des cas, de télécharger un fichier et de l'exécuter. Les serveurs web, les serveurs ftp et les systèmes middleware orientés message qui ont de nombreux points d'intégration sont particulièrement vulnérables, car les programmeurs et les administrateurs doivent être en phase en ce qui concerne les interfaces et les privilèges appropriés pour chaque interface. [Déterminer la configuration des fichiers et des répertoires] L'adversaire recherche des fichiers ou des répertoires mal configurés sur un système qui pourraient donner un accès exécutable à un groupe trop large d'utilisateurs. [Télécharger des fichiers malveillants] Si l'adversaire découvre un répertoire qui possède des autorisations d'exécution, il tentera de télécharger un fichier malveillant à exécuter. [Exécution d'un fichier malveillant] L'adversaire exécute soit le fichier malveillant téléchargé, soit un fichier existant qui a été mal configuré pour lui donner un accès exécutable.	Très haute
35	Exploiter le code exécutable dans les fichiers non exécutables Une attaque de ce type exploite la confiance d'un système dans les fichiers de configuration et de ressources. Lorsque l'exécutable charge la ressource (comme un fichier image ou un fichier de configuration), l'attaquant a modifié le fichier pour soit exécuter directement le code malveillant, soit manipuler le processus cible (par exemple le serveur d'application) pour qu'il s'exécute en fonction des paramètres de configuration malveillants. Comme les systèmes sont de plus en plus liés entre eux et qu'ils rassemblent des ressources provenant de sources locales et distantes, la possibilité que cette attaque se produise est élevée.	Très haute
76	Manipulation des entrées Web pour les appels au système de fichiers Un attaquant manipule les entrées du logiciel cible que ce dernier transmet aux appels du système de fichiers dans le système d'exploitation. L'objectif est d'obtenir l'accès, et peut-être de modifier, des zones du système de fichiers que le logiciel cible n'avait pas l'intention de rendre accessibles. [Afin de créer une injection de fichier valide, l'attaquant doit savoir quel est le système d'exploitation sous-jacent afin d'utiliser le séparateur de fichiers approprié. [Examiner l'application pour identifier les entrées contrôlables par l'utilisateur] L'attaquant examine l'application cible pour identifier toutes les entrées contrôlables par l'utilisateur, éventuellement en tant qu'utilisateur valide et authentifié. [Varier les entrées, rechercher des résultats malveillants] Selon que l'application exploitée est locale ou distante, l'attaquant crée l'entrée malveillante appropriée contenant le chemin d'accès au fichier ciblé ou toute autre syntaxe de contrôle du système de fichiers à transmettre à l'application.	Très haute

MITRE

Techniques

id	description
T1027.006	Fichiers ou informations obfusqués : Contrebande de HTML
T1027.009	Fichiers ou informations obfusqués : Charges utiles intégrées
T1547.009	Exécution du démarrage ou de l'ouverture de session automatique : modification des raccourcis
T1564.009	Cacher les artefacts : Fourchettes de ressources
T1574.005	Flux d'exécution du détournement : faiblesse des permissions du fichier d'installation exécutable
T1574.010	Flux d'exécution du détournement : faiblesse des permissions de ServicesFile
© 2022 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.

Atténuations

id	description
T1027.009	Sur Windows 10, activez les règles de réduction de la surface d'attaque (ASR) pour empêcher l'exécution de scripts potentiellement obfusqués.
T1547.009	Limiter les autorisations de création de liens symboliques dans Windows aux groupes appropriés, tels que les administrateurs et les groupes nécessaires à la virtualisation. Cela peut se faire par le biais d'une GPO : Configuration de l'ordinateur > [Stratégies] > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Attribution des droits d'utilisateur : Créer des liens symboliques.
T1564.009	Configurer les applications pour qu'elles utilisent la structure du paquet d'applications qui exploite l'emplacement du dossier <code>/Resources</code>.
T1574.005
T1574.010
© 2022 The MITRE Corporation. Cet ouvrage est reproduit et distribué avec l'autorisation de The MITRE Corporation.

Sherlock® flash

Prenez une photo de votre réseau informatique en quelques clics !

La solution d'audit Sherlock® flash vous permet de réaliser un audit pour renforcer la sécurité de votre parc informatique. Analyse des vulnérabilités de vos équipements physiques et virtuels. Planification des correctifs par niveau de priorité et temps disponible. Rapports détaillés et intuitifs.

Découvrir cette offre

Sherlock® flash : 1ère solution d'audit de cybersécurité instantané