Podatności NetworkManager-l2tp

NetworkManager-l2tp do wersji 1.52.4 (naprawione w 1.52.6) zawiera podatność na podniesienie uprawnień. Lokalny użytkownik z prawem tworzenia połączeń VPN może wstrzyknąć opcje pppd poprzez spreparowaną nazwę użytkownika VPN (zawierającą cudzysłów lub biały znak), co pozwala na wykonanie dowolnego kodu jako root.

NetworkManager-l2tp do wersji 1.52.4 (poprawione w 1.52.6) zawiera podatność niewłaściwej walidacji danych wejściowych, która pozwala lokalnym użytkownikom z uprawnieniami do tworzenia połączeń VPN wstrzykiwać dowolne dyrektywy pppd poprzez podanie wartości mru lub mtu zawierających końcową treść nieliczbową po prawidłowej liczbie całkowitej. Atakujący może wykorzystać zapis niezwalidowanych ciągów do pliku opcji pppd przez write_config_option() w celu wstrzyknięcia dyrektywy plugin, powodując załadowanie przez uprzywilejowany proces pppd biblioteki współdzielonej kontrolowanej przez atakującego i uzyskanie wykonania dowolnego kodu jako root.

Wtyczka NetworkManager-l2tp zapisuje kontrolowane przez atakującego właściwości połączenia VPN (vpn.data i vpn.secrets) bez escapowania do generowanego pliku ipsec.conf, który pluto ładuje jako root. Lokalny nieuprzywilejowany użytkownik może utworzyć i aktywować własny profil L2TP VPN z wstrzykniętą dyrektywą leftupdown zawierającą znak nowej linii, którą pluto wykona jako root po ustanowieniu asocjacji bezpieczeństwa IKE.