1.2 CVE-2012-4676

Exploit Path Traversal
 

La funzione errorExitIfAttackViaString in Tunnelblick 3.3beta20 e versioni precedenti consente agli utenti locali di eliminare file arbitrari costruendo un (1) collegamento simbolico o (2) un collegamento reale, una vulnerabilità diversa da CVE-2012-3485.
https://nvd.nist.gov/vuln/detail/CVE-2012-4676

Categorie

CWE-59 : Risoluzione del collegamento non corretta prima dell'accesso al file ("Link Following")
Il prodotto tenta di accedere a un file in base al nome del file, ma non impedisce correttamente che il nome del file identifichi un collegamento o una scorciatoia che si risolve in una risorsa non prevista. Alcuni usano l'espressione "file temporaneo insicuro" quando si riferiscono a una debolezza che segue un collegamento, ma altre debolezze possono produrre file temporanei insicuri senza alcun coinvolgimento di symlink. Lo "Zip slip" è un attacco che utilizza archivi di file (ad esempio, ZIP, tar, rar, ecc.) che contengono nomi di file con sequenze di attraversamento del percorso che causano la scrittura dei file al di fuori della directory in cui ci si aspetta che l'archivio venga estratto [REF-1282]. È più comunemente usato per l'attraversamento di percorsi relativi (CWE-23) e per seguire i link (CWE-59). Alcune versioni di Perl seguono i collegamenti simbolici quando vengono eseguite con l'opzione -e, il che consente agli utenti locali di sovrascrivere file arbitrari tramite un attacco symlink. L'editor di testo segue i collegamenti simbolici quando crea una copia di salvataggio durante un'uscita anomala, il che consente agli utenti locali di sovrascrivere i file di altri utenti. L'aggiornamento dell'antivirus consente agli utenti locali di creare o aggiungere file arbitrari tramite un attacco symlink su un file di registro. L'attacco symlink consente agli utenti locali di sovrascrivere i file. Il gestore di finestre non gestisce correttamente il caso in cui alcuni collegamenti simbolici puntino a posizioni "stantie", il che potrebbe consentire agli utenti locali di creare o troncare file arbitrari. Vulnerabilità dei link simbolici di secondo ordine Vulnerabilità dei link simbolici di secondo ordine Symlink nel programma Python Il prodotto Setuid consente la lettura di file sostituendo un file in fase di modifica con un link simbolico al file desiderato, facendo trapelare il risultato nei messaggi di errore quando l'analisi fallisce. Il segnale provoca un dump che segue i link simbolici. Attacco con hard link, sovrascrittura di file; interessante perché il programma controlla i soft link Le vulnerabilità che seguono gli hard link ed eventualmente i link simbolici nel sistema operativo integrato consentono agli utenti locali di sovrascrivere file arbitrari. Il server crea collegamenti rigidi e scollega i file come root, il che consente agli utenti locali di ottenere privilegi cancellando e sovrascrivendo file arbitrari. Il sistema operativo consente agli utenti locali di effettuare un denial of service creando un hard link da un file speciale del dispositivo a un file su un file system NFS. Il gestore dell'hosting Web segue gli hard link, il che consente agli utenti locali di leggere o modificare file arbitrari. Il sistema di elenchi di pacchetti consente agli utenti locali di sovrascrivere file arbitrari tramite un attacco hard link sui file di blocco. Condizione di race link rigido Il client di posta consente agli aggressori remoti di aggirare l'avviso all'utente per gli allegati eseguibili come .exe, .com e .bat utilizzando un file .lnk che fa riferimento all'allegato, noto come "Stealth Attachment.". Il server FTP consente agli aggressori remoti di leggere file e directory arbitrari caricando un file .lnk (link) che punta al file di destinazione. Il server FTP consente agli aggressori remoti di leggere file e directory arbitrari caricando un file .lnk (link) che punta al file di destinazione. Il browser consente ai siti Web dannosi remoti di sovrascrivere file arbitrari inducendo l'utente a scaricare due volte un file .LNK (link), che sovrascrive il file a cui faceva riferimento il primo file .LNK. ".LNK." - .LNK con punto finale I rootkit possono aggirare le restrizioni di accesso ai file delle directory del kernel di Windows utilizzando la funzione NtCreateSymbolicLinkObject per creare un collegamento simbolico Il file system consente agli aggressori locali di nascondere le attività di utilizzo dei file tramite un collegamento diretto al file di destinazione, che fa sì che il collegamento venga registrato nell'audit trail al posto del file di destinazione. Il plugin del server Web consente agli utenti locali di sovrascrivere file arbitrari tramite un attacco symlink su nomi di file temporanei prevedibili. Un Libcontainer utilizzato in Docker Engine consente agli utenti locali di sfuggire alla containerizzazione e di scrivere su un file arbitrario sul sistema host tramite un attacco symlink in un'immagine al momento del respawn di un container. La vulnerabilità "Zip Slip" nel prodotto di registri Open Container Initiative (OCI) basato su Go consente di scrivere file arbitrari al di fuori della directory prevista tramite collegamenti simbolici o hard link in un tarball gzippato. La vulnerabilità "Zip Slip" nel prodotto per la gestione dei container consente di scrivere file arbitrari al di fuori della directory prevista tramite un'immagine del container (formato .tar) con nomi di file che sono collegamenti simbolici che puntano ad altri file all'interno dello stesso file tar; tuttavia, i file a cui si punta possono anche essere collegamenti simbolici a destinazioni al di fuori della directory prevista, aggirando il controllo iniziale.

Riferimenti


 

CPE

cpe avviare fine
Configuration 1
cpe:2.3:a:google:tunnelblick:*:*:*:*:*:*:*:* <= 3.3beta20


RIMEDIO




EXPLOITS


Exploit-db.com

id descrizione data
Nessuna impresa nota

Altro (github, ...)

Url
20120811 OS X Local Root: Silly SUID Helper in Tunnel Blick


CAPEC


Common Attack Pattern Enumerations and Classifications

id descrizione gravità
132 Attacco Symlink
Alto
17 Utilizzo di file dannosi
Molto alto
35 Sfrutta il codice eseguibile in file non eseguibili
Molto alto
76 Manipolazione dell'input web alle chiamate al file system
Molto alto


MITRE


Tecniche

id descrizione
T1027.006 File o informazioni offuscate: Contrabbando di HTML
T1027.009 File o informazioni offuscate: Payload incorporati
T1547.009 Esecuzione dell'avvio automatico di boot o logon: modifica della scorciatoia
T1564.009 Nascondere gli artefatti: Biforcazione delle risorse
T1574.005 Flusso di esecuzione del dirottamento: debolezza dei permessi del file di installazione eseguibile
T1574.010 Flusso di esecuzione dell'hijack: debolezza dei permessi di ServicesFile
© 2022 The MITRE Corporation. Questo lavoro è riprodotto e distribuito con il permesso di The MITRE Corporation.

Mitigazioni

id descrizione
T1027.009 Su Windows 10, attivare le regole di riduzione della superficie di attacco (ASR) per impedire l'esecuzione di script potenzialmente offuscati.
T1547.009 Limitare le autorizzazioni per chi può creare collegamenti simbolici in Windows ai gruppi appropriati, come gli amministratori e i gruppi necessari per la virtualizzazione. Questo può essere fatto tramite GPO: Configurazione computer > [Criteri] > Impostazioni di Windows > Impostazioni di sicurezza > Criteri locali > Assegnazione diritti utente: Crea collegamenti simbolici.
T1564.009 Configurare le applicazioni in modo che utilizzino la struttura del bundle dell'applicazione che sfrutta la posizione della cartella <code>/Resources</code>.
T1574.005
T1574.010
© 2022 The MITRE Corporation. Questo lavoro è riprodotto e distribuito con il permesso di The MITRE Corporation.