Microsoft เตรียมนำคำสั่ง sudo บน Linux มาใช้งานบน Windows เซิร์ฟเวอร์

Microsoft เตรียมนำฟีเจอร์ ‘sudo’ จาก ระบบปฏิบัติการ Linux มาใช้งานใน Windows เซิร์ฟเวอร์ 2025 ซึ่งจะเพิ่มวิธีการใหม่ที่ทำให้แอดมิน สามารถยกระดับสิทธิ์บน Console Application ได้ (more…)

Matthew Hickey ผู้ร่วมก่อตั้ง Hacker House ได้ออกมาเปิดเผยบนทวิตเตอร์ถึงการทดสอบ PoC ของช่องโหว่ CVE-2021-3156 หรือที่เรียกว่า Baron Samedit บน MacOS ซึ่งเขาได้พบว่า MacOS ก็ได้รับผลกระทบเช่นเดียวกันกับระบบปฏิบัติการ Unix ตัวอื่นๆ

สืบเนื่องมาจากที่นักวิจัยจาก Qualys ได้เปิดเผยช่องโหว่ CVE-2021-3156 ซึ่งเป็นช่องโหว่ Heap-based buffer overflow ที่อยู่ภายในเป็นเครื่องมือ Sudo ที่ถูกใช้อย่างเเพร่หลายบนระบบปฏิบัติการ Unix ซึ่งช่องโหว่จะนำไปสู่การยกระดับสิทธิ์เป็น Root ได้ โดยที่ผู้โจมตีไม่จำเป็นต้องรู้รหัสผ่านของผู้ใช้

Hickey ได้ทดสอบช่องโหว่ CVE-2021-3156 บน MacOS และได้ทำการปรับเปลี่ยนโค้ดบน PoC ของช่องโหว่เล็กน้อย โดยการสั่งเขียนทับ argv[0] หรือสร้าง symlink ซึ่งจะทำให้ระบบปฏิบัติการ MacOS มีช่องโหว่เช่นเดียวกันกับระบบปฏิบัติการ Linux และยกระดับสิทธิ์เป็น Root ได้เช่นเดียวกัน

Hickey กล่าวอีกว่าช่องโหว่ CVE-2021-3156 นี้สามารถใช้ประโยชน์ได้ใน macOS เวอร์ชันล่าสุดได้ ถึงแม้ว่าจะใช้แพตช์ความปลอดภัยล่าสุดที่ Apple เปิดตัวเมื่อวันจันทร์ที่ผ่านมา ทั้งนี้ Hickey ได้รายงานข้อผิดพลาดเเก่ Apple แล้ว ซึ่ง Apple ปฏิเสธที่จะแสดงความคิดเห็นในขณะที่ตรวจสอบรายงาน ผู้ใช้งาน MacOS ควรทำการติดตามการอัปเดตแพตช์ความปลอดภัยจาก Apple อย่างต่อเนื่องและเมื่อทาง Apple ปล่อยแพตช์ความปลอดภัยเพื่อแก้ไขข้อบกพร่องดังกล่าวผู้ใช้ควรรีบทำการอัปเดตแพตช์อย่างเร่งด่วน

ที่มา: zdnet.

ผู้เชี่ยวชาญจาก Qualys ได้เปิดเผยถึงช่องโหว่ที่สำคัญในเครื่องมือ Sudo ที่จะช่วยให้ผู้โจมตีระบบปฏิบัติการ Unix สามารถยกระดับสิทธิ์เป็น Root โดยช่องโหว่ถูกติดตามด้วยรหัส CVE-2021-3156 หรือที่เรียกว่า Baron Samedit

Sudo เป็นเครื่องมือบนระบบปฏิบัติการ Unix ที่ช่วยจำกัดสิทธิ์ของผู้ใช้งานอยู่ในระดับปกติให้สามารถยกระดับสิทธิ์เป็นผู้ดูแลระบบที่มีสิทธิ์ Root บนระบบได้ อีกทั้ง Sudo ยังสามารถใช้เพื่อรันคำสั่งในบริบทของผู้ใช้งานอื่น ๆ ได้ ตามการคอนฟิกที่อยู่ใน /etc/sudoers

ช่องโหว่ CVE-2021-3156 เป็นช่องโหว่ Heap Buffer Overflow ที่นำไปสู่การยกระดับสิทธิ์เป็น Root ได้ โดยที่ผู้โจมตีไม่จำเป็นต้องรู้รหัสผ่านของผู้ใช้ โดยช่องโหว่นี้จะกระทบกับระบบปฏิบัติการ Ubuntu 20.04 (Sudo 1.8.31), Debian 10 (Sudo 1.8.27) และ Fedora 33 (Sudo 1.9.2) และคาดว่าเวอร์ชันของ Sudo ที่ได้รับผลกระทบคือ 1.9.0 – 1.9.5p1 และ 1.8.2 – 1.8.31p1

ทั้งนี้ผู้ใช้ที่ต้องการตรวจสอบว่าระบบปฏิบัติการของท่านได้รับผลกระทบจากช่องโหว่หรือไม่ สามารถทดสอบโดยคุณต้องเข้าสู่ระบบในฐานะผู้ใช้ปกติ จากนั้นรันคำสั่ง "sudoedit -s '/'" โดยระบบที่มีช่องโหว่จะแสดงข้อผิดพลาดที่ขึ้นต้นด้วย "sudoedit” ส่วนระบบที่ไม่ได้รับผลกระทบจะเเสดงข้อผิดพลาดที่ขึ้นต้นด้วย "usage:" อย่างไรก็ตามผู้ใช้และผู้ดูแลระบบควรทำการอัปเดต Sudo ให้เป็นเวอร์ชัน 1.9.5p2 หรือมากกว่า เพื่อป้องกันการตกเป็นเป้าหมายการโจมตีของผู้ประสงค์ร้าย

ที่มา: bleepingcomputer, zdnet

เมื่อช่วงสงกรานต์ที่ผ่านมา นักวิจัยด้านความปลอดภัย chaignc จากทีม HexpressoCTF ได้มีเปิดเผยเทคนิคใหม่ในการโจมตี sudo ในระบบปฏิบัติการลินุกซ์เพื่อช่วยยกระดับสิทธิ์ของบัญชีผู้ใช้งานปัจจุบันให้มีสิทธิ์สูงขึ้นภายใต้ชื่อการโจมตีว่า SUDO_INJECT

ในบล็อกนี้ ทีมตอบสนองการโจมตีและภัยคุกคาม (Intelligent Response) จะมาอธิบายถึงรายละเอียดการทำงานของ sudo ซึ่งทำให้เกิดเป็นช่องโหว่แบบ In-depth Vulnerability Analysis เพื่อความเข้าใจในสาเหตุการเกิดขึ้นของช่องโหว่นี้กันครับ

ทำความเข้าใจ Exploit
จากไฟล์ exploit ซึ่งปรากฎในโครงการของผู้ค้นพบช่องโหว่ เราจะมาทำความเข้าใจ exploit ซึ่งทำให้เราได้สิทธิ์ root ที่อยู่ในไฟล์ exploit.

ค้นพบบั๊กร้ายแรงบน sudo ใน Linux ที่เปิดให้ผู้ที่มี Shell Account สามารถเข้ามายกระดับสิทธิ์ของตนเองเป็น Root ได้

ช่องโหว่ดังกล่าวเกิดจากปัญหาในการ Parse เนื้อหาในคำสั่ง sudo ที่ผิดพลาด ทำให้ผู้โจมตีในระบบ Linux ที่มีการตั้งค่าไว้ในบางรูปแบบสามารถใช้ปัญหานี้ในการ Overwrite ไฟล์ใดๆ บนระบบ, Bypass การจำกัดสิทธิ์ต่างๆ ไปจนถึงการยกระดับสิทธิ์ตัวเองเป็น Root ได้

โดยปัญหานี้เกิดขึ้นกับ Linux จำนวนมาก และส่งผลกระทบไปถึง Linux ที่ใช้ SELinux ด้วย ซึ่งรายการของ Linux ที่ได้รับผลกระทบมีดังนี้

Red Hat Enterprise Linux 6 (sudo)
Red Hat Enterprise Linux 7 (sudo)
Red Hat Enterprise Linux Server (v. 5 ELS) (sudo)
Debian wheezy
Debian jessie
Debian stretch
Debian sid
Ubuntu 17.04
Ubuntu 16.10
Ubuntu 16.04 LTS
Ubuntu 14.04 LTS
SUSE Linux Enterprise Software Development Kit 12-SP2
SUSE Linux Enterprise Server for Raspberry Pi 12-SP2
SUSE Linux Enterprise Server 12-SP2
SUSE Linux Enterprise Desktop 12-SP2
OpenSuse

สำหรับคำแนะนำเพื่อแก้ปัญหานี้คือการอัปเดต Patch ดังนี้

Debian/Ubuntu ใช้ sudo apt update และ sudo apt upgrade
CentOS/RHEL ใช้ sudo yum update
Fedora ใช้ sudo dnf update
SUSE ใช้ sudo zypper update
Arch Linux ใช้ sudo pacman -Syu
Alpine ใช้ apk update && apk upgrade

ที่มา : TECHTALKTHAI , cyberciti