Podatności LXD

Podatność polegająca na przechodzeniu poza katalog (path traversal) w przetwarzaniu szablonów instancji LXD pozwala atakującemu z uprawnieniami edycji kontenera lub każdemu użytkownikowi uruchamiającemu spreparowany obraz na nadpisywanie dowolnych plików na hoście jako root. Podczas przetwarzania ścieżek szablonów docelowych określonych w metadata.yaml, LXD sprawdza ścieżkę względem ograniczonego uchwytu katalogu os.Root, ale następnie otwiera i tworzy plik za pomocą os.Create z nieograniczoną ścieżką. Ta rozbieżność między kontrolą rozwiązywania ścieżek a tworzeniem plików pozwala atakującemu na ucieczkę z ograniczeń katalogu, nadpisanie plików hosta należących do roota i osiągnięcie wykonania kodu jako root na hoście.

Podatność na przechodzenie po ścieżkach (path traversal) w LXD pozwala atakującemu manipulować ścieżkami systemu plików podczas importowania i przywracania kopii zapasowych. Podczas importowania lub przywracania archiwum kopii zapasowej LXD nie sprawdza poprawności nazw instancji i woluminów przechowywanych w metadanych archiwum. Atakujący może wykorzystać tę wadę, dostarczając spreparowane archiwum kopii zapasowej ze złośliwymi nazwami instancji lub woluminów zawierającymi sekwencje przechodzenia po ścieżkach, co potencjalnie umożliwia dostęp do plików lub nadpisanie ich poza wyznaczonym katalogiem przywracania.

W funkcji instancePostMigration w pliku lxd/instance_post.go w LXD stwierdzono podatność polegającą na niewłaściwej walidacji, która pozwala uwierzytelnionemu atakującemu z uprawnieniami can_create_instances w ograniczonym projekcie na ominięcie ograniczeń bezpieczeństwa projektu. Podczas migracji instancji między projektami LXD nie sprawdza konfiguracji instancji względem wymuszonych ograniczeń projektu docelowego.

W LXD stwierdzono podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionemu użytkownikowi na ominięcie limitów dysków i wolumenów na poziomie projektu. Dwie ścieżki kodu nie sprawdzają limitów zasobów podczas operacji na wolumenach: funkcja storagePoolVolumeTypePostMove pomija sprawdzenie limits.AllowVolumeCreation przed przeniesieniem wolumenu między projektami, a operacje przywracania migawki wolumenu pomijają sprawdzenie AllowVolumeUpdate, gdy konfiguracja jest pusta.

W LXD stwierdzono podatność polegającą na niewłaściwej neutralizacji specjalnych elementów w obsłudze konfiguracji NVIDIA, która pozwala uwierzytelnionemu atakującemu na wstrzyknięcie dowolnych dyrektyw konfiguracyjnych. Poprzez dostarczenie znaków nowej linii w wartościach 'nvidia.driver.capabilities' lub 'nvidia.require.*' atakujący może manipulować wygenerowanym plikiem lxc.conf.

W LXD stwierdzono podatność polegającą na obejściu autoryzacji z powodu błędu w synchronizacji podczas scalania konfiguracji, która pozwala uwierzytelnionemu atakującemu na ominięcie ograniczeń projektu docelowego podczas kopiowania instancji między projektami. LXD wykonuje sprawdzenia ograniczeń przed zakończeniem scalania konfiguracji, co tworzy warunek TOCTOU.

W LXD stwierdzono podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionemu atakującemu na ominięcie ograniczeń projektu docelowego podczas migracji instancji. LXD akceptuje nadpisania konfiguracji bez walidacji nowej konfiguracji względem wymuszonych ograniczeń projektu docelowego.

W LXD stwierdzono podatność polegającą na podążaniu za dowiązaniami symbolicznymi, która pozwala atakującemu na wykonanie poleceń z uprawnieniami roota na systemie hosta. Podczas importu lub rozpakowywania spreparowanych archiwów obrazów lub kopii zapasowych LXD nieprawidłowo waliduje i ogranicza plik backup.yaml, gdy jest on dowiązaniem symbolicznym.

Podatność w LXD umożliwia atakującemu osiągnięcie dowolnego odczytu i zapisu plików na systemie hosta. Podczas importowania lub rozpakowywania archiwum obrazu LXD nie sprawdza, czy plik metadata.yaml jest dowiązaniem symbolicznym. Atakujący może wykorzystać tę wadę, dostarczając spreparowane archiwum obrazu z dowiązaniem symbolicznym metadata.yaml wskazującym na docelowe ścieżki plików na systemie hosta.

Podatność w LXD umożliwia uwierzytelnionemu atakującemu ominięcie ograniczeń bezpieczeństwa projektu podczas migracji instancji między projektami. Podczas przenoszenia instancji między projektami na inny członek klastra przez POST /1.0/instances/{name} z parametrami migration: true, project: <target> i target: <member>, węzeł docelowy pomija wszystkie sprawdzenia ograniczeń projektu, ponieważ żądanie przychodzi jako wewnętrzne powiadomienie klastra. Atakujący może to wykorzystać do wprowadzenia niedozwolonych konfiguracji instancji do ograniczonego projektu.

Podatność na przechodzenie po ścieżkach w LXD pozwala atakującemu na odczyt dowolnych plików hosta lub nieograniczone tworzenie plików. Podczas przetwarzania szablonów metadanych obrazów LXD nie sanitizuje ani nie ogranicza ścieżek plików szablonów, co pozwala na ucieczkę z katalogu szablonów instancji (dotyczy to ścieżek wykonania wirtualnych maszyn / QEMU). Atakujący może wykorzystać ten błąd, dostarczając spreparowany obraz archiwum ze złośliwymi dyrektywami szablonów zawierającymi sekwencje przechodzenia po ścieżkach.

Podatność na obejście autoryzacji w LXD umożliwia uwierzytelnionemu atakującemu obejście ograniczeń izolacji kontenerów na poziomie projektu. Gdy projekt jest skonfigurowany z ograniczeniami dotyczącymi uprawnień kontenerów (takimi jak wymuszanie restricted.containers.privilege=isolated), LXD nie egzekwuje wymogu, jeśli konfiguracja instancji pomija klucz security.idmap.isolated. Atakujący może wykorzystać tę wadę, tworząc lub aktualizując instancję bez jawnego ustawienia security.idmap.isolated, omijając ograniczenia bezpieczeństwa docelowego projektu.

W LXD od wersji 4.12 do 6.9 wykryto podatność SSRF w funkcji importowania obrazów. Uwierzytelniony użytkownik z uprawnieniem can_create_images może wysyłać żądania do wewnętrznej infrastruktury sieciowej przez endpoint /images. Demon LXD nie waliduje docelowych adresów IP, co pozwala na łączenie się z adresami loopback, prywatnymi zakresami RFC1918 oraz metadanymi chmury.

Podatność w LXD (wersje 6.0 przed 6.9, 5.21.0 przed 5.21.5 i 5.0.0 przed 5.0.7) umożliwia eskalację uprawnień poprzez obejście polityk ograniczeń projektu podczas przywracania migawek. Uwierzytelniony operator projektu w środowisku wielodostępnym może zaimportować złośliwą kopię zapasową instancji zawierającą ograniczone klucze konfiguracyjne w migawce, które po przywróceniu są stosowane bez walidacji.

W LXD do wersji 6.8 i 5.21 na systemie Linux występuje podatność polegająca na dereferencji wskaźnika zerowego w funkcji CreateCustomVolumeFromBackup. Uwierzytelniony użytkownik z uprawnieniami can_create_storage_volumes może spowodować odmowę usługi (DoS) poprzez przesłanie specjalnie spreparowanego archiwum kopii zapasowej woluminu niestandardowego, które pomija pole expires_at migawki.