近期，Microsoft 365 Defender研究團隊發(fā)現(xiàn)了兩個名為“Nimbuspwn”的Linux提權(quán)漏洞(編號為CVE-2022-29799和CVE-2022-29800)，攻擊者可以利用該漏洞進行各種惡意活動，包括部署惡意軟件。根據(jù)微軟發(fā)布的公告，這些漏洞可以鏈接在一起以獲得Linux系統(tǒng)的root權(quán)限，允許攻擊者部署有效負載，如root后門，并通過執(zhí)行任意root代碼從而達到運行其他惡意操作的目的。通過利用這些漏洞來實現(xiàn)對目標系統(tǒng)root的訪問權(quán)，并部署更復(fù)雜的威脅，例如勒索軟件。

這些漏洞存在于名為networked-dispatcher的systemd組件中，該組件是系統(tǒng)網(wǎng)絡(luò)連接狀態(tài)變化的調(diào)度守護進程。在對網(wǎng)絡(luò)調(diào)度程序的代碼流的審查揭示了多個安全問題，包括目錄遍歷、符號鏈接競爭和檢查-使用-時間競爭條件問題。

研究人員開始列舉以root用戶身份運行并監(jiān)聽系統(tǒng)總線上消息的服務(wù)，并執(zhí)行代碼審查和動態(tài)分析。將這些問題串聯(lián)起來，那么攻擊者只要控制著可以發(fā)送任意信號的D-Bus服務(wù)，即便是最后妥協(xié)時也可以部署后門。

研究人員能夠開發(fā)自己的漏洞利用程序，以root身份運行任意腳本。該漏洞利用還將/bin/sh復(fù)制到/tmp目錄，將/tmp/sh設(shè)置為 Set-UID (SUID)可執(zhí)行文件，然后調(diào)用“/tmp/sh -p”。(“-p”標志是強制shell不放棄特權(quán)所必需的)。對此，研究人員建議networkd-dispatcher的用戶更新他們的安裝。為了解決當前存在的特定漏洞，Microsoft Defender for Endpoint的端點檢測和響應(yīng)(EDR)功能需要具備能檢測到利用Nimbuspwn所需的目錄遍歷攻擊。

參考來源：https://securityaffairs.co/wordpress/130662/hacking/nimbuspwn-linux-flaws.html