CVE-2018-14665 : Xorg X Server 权

任意文件覆盖导致的提权漏洞

由合天网安实验室翻译

描述：

X.org X Server应用程序允许低权限的用户在系统的任何位置创建或覆盖文件，包括特色文件（如：/etc/shadow）。

攻击条件：拥有普通用户的控制台会话权限

靶机：

CentOS-7

[narendra@localhost ~]$ uname -a

Linux localhost.localdomain 4.18.11-1.el7.elrepo.x86_64 #1 SMP Sat Sep 29 09:42:38 EDT 2018 x86_64 x86_64 xGNU/Linux

X.Org X server 版本：1.19.5

分析：

在CentOS和RedHat服务器操作系统上，X.org X Server 可执行文件（/usr/bin/Xorg）具有SETUID权限。

[Dev@localhost ~]$ ls -la /usr/bin/Xorg

-rwsr-xr-x. 1 root root 2409344 Apr 11 22:12 /usr/bin/Xorg

X.org X Server 应用程序中 LogInit()函数用来记录日志，X.org X Server 允许用户使用 “-logfile”选项指定日志文件。

如果系统上已存在与用户提供的"”同名的文件，则将其重命名为“.old”。 完成此操作后，将使用用户提供的“”名称创建一个新文件，使用fopen()函数进行调用

Xorg-Server/os/log.c

可以使用 strace命令跟踪系统底层的 open() 调用过程

从跟踪日志可以看出，O_EXCL 标志没有设置，所以fopen() 函数会创建或者覆盖已有的文件。

漏洞利用：

主要利用以下3点：

1、fopen()调用的输入是用户可控的文件名

2、fopen()将创建或覆盖已存在的文件

3、可执行文件/usr/bin/Xorg具有setuid权限

/etc/shadow 文件覆盖测试

权限提升

修复信息：

https://lists.x.org/archives/xorg-announce/2018-October/002927.html https://lists.x.org/archives/xorg-announce/2018-October/002928.html

时间线:

2018-10-10: 联系 secalert@redhat.com

2018-10-12: 联系 X.org 团队

2018-10-25: 协调发布时间 (Time: 14:00 UTC)