Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

sudo hálózati maszk ellenőrzés probléma

2012.05.21. 11:48 | buherator | 3 komment

Jogosultságkiterjesztésre alkalmas hibát javítottak a sudo-ban. A probléma a távoli felhasználókhoz rendelt hálózati tartományok helytelen kezeléséből, egész konkrétan egy kifelejtett break kifejezésből adódik:

switch (family) {
case AF_INET:
if (ifp->addr.ip4.s_addr == addr.ip4.s_addr ||
(ifp->addr.ip4.s_addr & ifp->netmask.ip4.s_addr)
== addr.ip4.s_addr)
debug_return_bool(true);
break; # Ez bizony kimaradt...
#ifdef HAVE_STRUCT_IN6_ADDR
case AF_INET6:
if (memcmp(ifp->addr.ip6.s6_addr, addr.ip6.s6_addr,
sizeof(addr.ip6.s6_addr)) == 0)
debug_return_bool(true);
for (j = 0; j < sizeof(addr.ip6.s6_addr); j++) {
if ((ifp->addr.ip6.s6_addr[j] & ifp->netmask.ip6.s6_addr[j]) != addr.ip6.s6_addr[j])
break;
}
if (j == sizeof(addr.ip6.s6_addr))
debug_return_bool(true);
break;
#endif /* HAVE_STRUCT_IN6_ADDR */
}

(Szebb patch itt van)

A hiba következtében IPv4-es címek esetén a hálózati maszkok ellenőrzésekor a végrehajtás tovább halad az IPv6 ágra, ha az IPv4 maszk illesztése nem sikerült. Mivel azonban ebben az esetben az IPv6-os változók inicializálatlanok, az összehasonlítás végül sikerrel végződik, vagyis olyan felhasználónak is megadatik az emelt jogosultság, aki nem a konfigurációban megadott hálózatból érkezett.

Többek között ezért kell jól odafigyelni, hogy mindig kiírjuk azokat a fránya breakeket.

Címkék: patch bug sudo

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

synapse · http://www.synsecblog.com 2012.05.21. 13:04:22

a fejlesztonek nem volt a fejeben defineolva a HAVE_STRUCT_IN6_ADDR

buherator · http://buhera.blog.hu 2012.05.22. 10:22:30

@hillaby: Mióta túl sokat programozok pythonban, egyébként kíváncsi voltam kiszúrja-e valaki.