1

Я находил похожий вопрос на stackoverflow, но я так и не понимаю в чем смысл подмены ? Вот мы хотим проверить что файл доступен для чтения и если доступен -> открыть. Отлично, мы проверили, файл доступен -> открыли. Другая ситуация: проверяем, доступен ли файл на чтение -> нам его подменяют -> отрываем другой файл(проблема). Чем вторая ситуация отличается от того, что я успею подменить файл в таком коде:

###Псевдокод 1###

int main()
{
  delay(5) #delay 5 sec
  open("substitutedFile", "r")
}

###Псевдокод 2###

int main()
{
  ....
  .... # Slow code, low performance
  open("substitutedFile", "r")
}

Вопрос в том, почему уязвимый именно access ? Когда такую подмену можно сделать в любом из выше приведенных сценариев. Зачем вообще нужен access если возвращаемое значение open даст мне знать, доступен ли файл на чтение/запись, а execv в возвращаемом значении даст понять, доступен ли файл на выполнение https://www.usenix.org/legacy/publications/library/proceedings/sec04/tech/full_papers/dean/dean_html/accessopen.html

https://stackoverflow.com/questions/7925177/access-security-hole

6
  • 2
    О чём вы вообще? 31 авг 2021 в 11:43
  • Да, может быть, вы добавите какую нибудь поясняющую ссылку о том, что Вы имеете в виду?
    – S.H.
    31 авг 2021 в 11:47
  • @S.H. добавил ссылки 31 авг 2021 в 11:51
  • @PavelMayorov добавил ссылки 31 авг 2021 в 11:51
  • По первой ссылке в разделе 2.1 The Problem же четко расписана проблема. 31 авг 2021 в 19:50

2 ответа 2

1

Зачем вообще нужен access если возвращаемое значение open даст мне знать, доступен ли файл на чтение/запись, а execv в возвращаемом значении даст понять, доступен ли файл на выполнение

В абсолютном большинстве случаев так и надо поступать: просто пробовать открыть файл и обрабатывать ошибки, если это не удалось (с exec() это может быть затруднительно).

Как говорит тётя маня, access() в отличии от open() использует не эффективные, а реальные UID/GID, т.е. их результат может быть разным для процессов с suid битом и именно в таких случаях нужно использовать access():

Другими словами, access() не отвечает на вопрос «могу я прочитать/записать/выполнить этот файл?». Он отвечает на немного другой вопрос: «(предположим я исполняемый файл с setuid) может ли пользователь, запустивший меня прочитать/записать/выполнить этот файл?», что даёт программам с set-user-ID возможность не дать злонамеренным пользователям прочитать файлы, которые пользователи не должны читать.

Когда возникает уязвимость

Допустим есть процесс с suid, который должен проверить, есть ли у вызвавшего его пользователя право на чтение заданного файла:

if(access("/path/to/file", R_OK) == 0) {
  int fd = open("/path/to/file", O_RDONLY);
  assert(fd>=0);
  print_file(fd);
  close(fd)
}

В этом случае возможна следующая последовательность действий:

  • т.к. изначальный файл принадлежал пользователю, то проверка access() выполняется успешно.
  • Злоумышленник удаляет исходный файл и заменить его ссылкой на файл к которому у него нет доступа, например, ссылкой на /etc/shadow.
  • т.к. процесс работает с повышенными привилегиями, то вызов open() успешно открывает файл по ссылке и выводит его.

man в принципе рекомендует «избегать использования данного системного вызова».

6
  • Если у "злоумышленника" была возможность запустить процесс, который потом начал работать с повышенными привилегиями, то значит можно считать, что у него и так есть доступ /etc/shadow... 31 авг 2021 в 13:04
  • 1
    @user7860670, нет, конечно... возможность запуска suid/sgid'ных процессов ни как не связана с возможностью доступа к другим файлам...
    – Fat-Zer
    31 авг 2021 в 13:19
  • Я думаю "уязвимость" - это неправильный перевод. Правильнее сказать опасность при совмесном использовании с другими функциями. Т.е. при использовании access + open можно получить гарантировано баг.
    – nick_n_a
    31 авг 2021 в 20:00
  • @nick_n_a, нум... да, уязвим, конечно, не сам access(), а уязвим его конкретный конкретный способ использования, но проблема с самим вызовом в том, что все остальные способы использования лишены практического смысла...
    – Fat-Zer
    31 авг 2021 в 21:31
  • 1
    Из этого следует, что suid-ная программа должна контролировать возможность подмены -- stat/access/open/fstat -- потом сравниваем результаты stat и fstat
    – avp
    31 авг 2021 в 22:02
0

Зачем вообще нужен access если возвращаемое значение open даст мне знать, доступен ли файл на чтение/запись

Как было указано выше, по стандарту access() проверяет права исходя из реальных UID/GID, а результат open() зависит от эффективных.

Т.е. в программах с повышенными или пониженными привилегиями результат может отличаться.

Вопрос в том, почему уязвимый именно access ?

Сам access() - неуязвим. Но, программы с повышением или понижением привилегий, которые его неправильно используют, могут иметь весьма неопределённое поведение.

В частности, варианты связки access() и open()

https://www.usenix.org/legacy/publications/library/proceedings/sec04/tech/full_papers/dean/dean_html/accessopen.html Fixing Races for Fun and Profit: How to use access(2)

Выглядит корректным.

https://stackoverflow.com/questions/7925177/access-security-hole

Не выглядит полным, в части прав на поиск по пути.

Для однопоточных программ, вероятно, самым надёжным и простым является способ: ... seteuid(); setegid(); open(); ...

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.