|
|
|
|
公众号矩阵

AFL实战:测试sudo提权漏洞CVE-2021-3156

最近sudo发现了一个严重的缓存溢出提权漏洞CVE-2021-3156,这很正常。不正常的是这个漏洞已经潜伏了10年之久,为什么10年才发现呢?如果用常规的测试方法需要多久才能发现?对此有人进行了Fuzz测试,请和虫虫一起学习一下过程。

作者:虫虫安全来源:今日头条|2021-01-30 18:31

最近sudo发现了一个严重的缓存溢出提权漏洞CVE-2021-3156,这很正常。不正常的是这个漏洞已经潜伏了10年之久,为什么10年才发现呢?如果用常规的测试方法需要多久才能发现?对此有人进行了Fuzz测试,请和虫虫一起学习一下过程。

概述

在本文试验中,使用了AFL模糊器。AFL模糊器(American Fuzzy lop)是一种面向安全的模糊器,AFL使用新型编译时检测和遗传算法,自动发现干净有趣的测试用例,这些用例会在目标二进制文件中触发新的内部状态。用这样的方法可以大大改善了模糊代码的功能覆盖范围。

AFL模糊器生成的紧凑的合成语料库还可以用于复现其他测试人员更耗费人力或资源的测试方案。

测试准备

sudo是setuid二进制文件,以root用户随机输入运行潜在错误的二进制文件不是最安全的方法。为了避免任何潜在的意外系统损坏,此设置试验中使用了虚拟机环境。并选择最近一个涉及漏洞sudo版本sudo 1.9.5.p1。

AFL旨在将输出生成到文件或stdout中,但是要模糊命令行参数。因此,需要自行修补sudo,忽略实际的argv并将其改为从stdin。

AFL提供了一个可以提供这样功能的argv-fuzz-inl.h:

示例argv-fuzz-inl.h从stdin读取NUL分隔的参数。注意,sudo在单个二进制文件中同时提供了sudo和sudoedit实用程序,因此要测试两者,还需要向fuzzer公开argv[0]。输入的代码argv-fuzz-inl.h不会执行此操作,因此需要对其进行修复:

  1. int rc = 0; /* start at argv[0] */ 

sudo本身补丁很简单,只需在main的开头连接AFL_INIT_ARGV即可:

  1. --- a/src/sudo.c 
  2. +++ b/src/sudo.c 
  3. @@ -66,6 +66,8 @@ 
  4. #include "sudo_plugin.h" 
  5. #include "sudo_plugin_int.h" 
  6.  
  7. +#include "argv-fuzz-inl.h" 
  8. /* 
  9. * Local variables 
  10. */ 
  11. @@ -149,6 +151,7 @@ sudo_dso_public int main(int argc, char *argv[], char *envp[]); 
  12. int 
  13. main(int argc, char *argv[], char *envp[]) 
  14. +AFL_INIT_ARGV(); 
  15. int nargc, status = 0
  16. char **nargv, **env_add, **user_info; 

快速测试表明sudo/sudoedit选择无法从stdin中传递的测试用例正常工作,因为出于某种原因,它使用了__progname。一个快速解决方法:

  1. --- a/lib/util/progname.c 
  2. +++ b/lib/util/progname.c 
  3. @@ -83,7 +83,7 @@ void 
  4. initprogname2(const char *name, const char * const * allowed) 
  5. int i; 
  6. -# ifdef HAVE___PROGNAME 
  7. +# if 0 
  8. extern const char *__progname; 
  9.  
  10. if (__progname != NULL && *__progname != '\0') 

最后,设置无需等待密码输入,因此只需使其无条件失败即可:

  1. --- a/plugins/sudoers/auth/sudo_auth.c 
  2. +++ b/plugins/sudoers/auth/sudo_auth.c 
  3. @@ -259,7 +259,7 @@ verify_user(struct passwd *pw, char *prompt, int validated, 
  4. "--disable-authentication configure option.")); 
  5. debug_return_int(-1); 
  6. +return 0; 
  7. /* Enable suspend during password entry. */ 
  8. sigemptyset(&sa.sa_mask); 
  9. sa.sa_flags = SA_RESTART

由于某种原因afl-gcc工具无法正常工作,因此使用了基于LLVM的工具。需要重写CC为./configure:

  1. CC=AFL-clang-fast ./configure 

测试中使用了两个简单的测试用例,调用了两个可用的实用程序:

  1. echo -ne 'sudo\0ls\0\0' > case1 
  2. echo -ne 'sudoedit\0test\0\0' > case2 

准备就绪后,以并行模式启动了四个AFL实例。半小时后,出现了一个crash:

结果:

确实在sudoedit -s是崩溃了。假设并行运行了4个实例,大约2小时的CPU时间。通过2小时的CPU时间测试,就可以在setuid中找到严重的安全漏洞。

总结

为什么在十年中,才能发现这样的严重问题,其他重要的基础系统是否是不是也存在类似类似的潜伏漏洞。不知道之前有没有人对sudo做过模糊测试?或者社区大意了,只测试过sudo,而遗漏了不太引人注意的sudoedit了。

但是无论如何,需要指出的是,使用快速使用模糊测试程序可以发现广泛使用的实用程序中仍然存在严重的错误。

【编辑推荐】

  1. Linux发行版受影响,Sudo被爆高危漏洞
  2. Windows 10推更新:优化触控键盘、弥补Intel处理器安全漏洞
  3. 电子书Kindle被爆出3个新漏洞,黑客可瞬间清空用户余额
  4. Windows NT LAN Manager (NTLM)安全特征绕过漏洞
  5. 微软:Zinc黑客或利用Chrome零日漏洞对安全研究人员展开攻击
【责任编辑:赵宁宁 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

订阅专栏+更多

数据湖与数据仓库的分析实践攻略

数据湖与数据仓库的分析实践攻略

助力现代化数据管理:数据湖与数据仓库的分析实践攻略
共3章 | 创世达人

5人订阅学习

云原生架构实践

云原生架构实践

新技术引领移动互联网进入急速赛道
共3章 | KaliArch

31人订阅学习

数据中心和VPDN网络建设案例

数据中心和VPDN网络建设案例

漫画+案例
共20章 | 捷哥CCIE

215人订阅学习

视频课程+更多

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊

51CTO服务号

51CTO官微