30.12, 13:00–13:40 (Europe/Berlin), Fireshonks-Stream
Sprache: Deutsch
Logrotate, ein Tool zum Verwalten von Logdateien, verfügt über eine Sicherheitslücke, die das Ausweiten der Rechte über eine Race Condition erlaubt. Die Sicherheitlücke – “Logrotten” - kann dann ausgenutzt werden, wenn eine unprivilegierter Benutzer*in das Logverzeichnis unter Kontrolle hat.
In diesem Vortrag wird gezeigt, wie einfach es ist, diese Sicherheitslücke auszunutzen, und es wird gezeigt, welche Auswirkungen und Reichweite diese Sicherheitslücke hat, z.B. auf andere Softwarepakete wie gitlab. Am Ende wird der aktuelle Stand von Logrotate aufgezeigt.
Stream-Link: https://streaming.media.ccc.de/jev22/fireshonks
Mit Logrotate können Logfiles verwaltet werden. Es ermöglicht das automatische Rotieren, Komprimieren, Entfernen und Versenden von Logdateien. Jede Logdatei kann dabei täglich, wöchentlich oder monatlich von Logrotate rotiert werden, bzw. wenn sie eine bestimmte Größe erreicht hat. Außerdem bietet Logrotate auch eine Root-Shell.
Logrotate unterstützt verschiedene Methoden, um neue Dateien zu erstellen. Die Direktive "copy" beispielsweise erstellt eine Kopie der Logdatei und "create" erzeugt nach dem Rotieren eine neue, leere Logdatei. Wenn jemand das Logverzeichnis mit einem symbolischen Link austauscht, kurz bevor die neue Logdatei erstellt wird, legt Logrotate die neue Datei in einem anderen Verzeichnis ab. Ein solches Szenario kann ausgenutzt werden, wenn Logrotate als Benutzer root läuft und eine Benutzerin mit geringen Privilegien die Kontrolle über den Pfad zum Logverzeichnis hat. Wenn dieser Benutzerin zum richtigen Zeitpunkt das Logverzeichnis mit einem symbolischen Link austauscht, schreibt Logrotate die neue Datei in das verlinkte Verzeichnis. Danach werden die Berechtigungen der erstellten Datei angepasst, sodass die angreifende Person Schreibzugriff auf dieser Datei hat.
In diesem Vortrag werden die verschiedenen Szenarien erläutert, in denen Logrotate auf gefährliche Weise konfiguriert werden kann. Es wird erläutert, welche Softwarepakete gefunden wurden, die anfällig für diese Art von Angriffen sind. Abschließend wird der aktuelle Stand von Logrotate diskutiert.
Deutsch
ErweitertesQundA-Raum –
Wolfgang Hotwagner ist Research-Engineer im Cyber Security Research Team am Austrian Institute of Technology (AIT). Er arbeitet an Themen wie "Pentesting", "Log Anomalie Erkennung" und "Cyberrange". In seiner Freizeit beschäftigt er sich ebenfalls mit IT-Security und hat Spaß mit Linux.