Bug w Bugzilli pozwala na utworzenie konta administratora i podgląd zgłoszeń
Poszukiwacze starający się znaleźć błędy w aplikacjach dostali właśnie nieoczekiwany prezent. Bugzilla, popularny system zgłaszania błędów i testowania oprogramowania okazał się być podatny na atak wykorzystujący luki Perla, w wyniku którego włamywacze mogą utworzyć nowe konta z dostępem administratora. Dzięki temu otrzymują możliwość podglądu wszystkich zgłoszeń, także opisów luk bezpieczeństwa tych, które nie zostały jeszcze złatane w publikowanych wersjach programów.
Za odkrycie odpowiada firma Check Point Software Technologies, która w ramach testów wykorzystała go do utworzenia wspomnianych kont. W ten sposób nagle nowi administratorzy pojawili się w serwisach mozilla.com, mozilla.org, bugzilla,org i bugzilla.bugs. Mogłoby się wydawać, że włamanie do systemu zgłoszeń nie jest niczym poważnym, ale to złudne wrażenie. Tak naprawdę atakujący posiadając uprawnienia administratora otrzymuje bowiem dostęp do szczegółów każdego zgłoszenia, co pozwala choćby dowiedzieć się, jak wykorzystać luki w testowanym oprogramowaniu. Stąd już bardzo prosta droga do stworzenia narzędzi atakujących starsze, niezałatane wersje. Nie potrzeba badać działania aplikacji, bo opis podatności i możliwości jej wykorzystania jest podawany na tacy, często z całym scenariuszem ataku.
Oprogramowanie to zostało stworzone w 1998 roku przez Fundację Mozilla, jest przez nią zresztą nadal rozwijane. Korzysta ono z serwerów bazodanowych MySQL lub PostgreSQL, serwera www z obsługą CGI, a także języka Perl. To właśnie odpowiednie wykorzystanie Perla pozwala na ominięcie zabezpieczeń serwisu, oraz zakładanie fałszywych kont. Pracownicy Check Point poinformowali, że wbrew wcześniejszym przypuszczeniom, to wcale nie był atak typu SQL Injection. To zupełnie nowy rodzaj ataku na Perla, nad którym intensywne badania firma prowadziła już od dawna. Okazuje się, że podatnych na tego typu zabiegi jest znacznie więcej oprogramowania korzystającego z tego języka, ale Bugzilla była doskonałym przykładem do jego zademonstrowania. Testy firmy wykazały, że na świecie istnieje przynajmniej 150 dużych firm tworzących oprogramowanie, które korzystają z tego rozwiązania i są narażone na atak. Nawet skrócona lista wygląda imponująco. Znajduje się na niej wspomniana Mozilla, projekt OpenOffice, Red Hat, KDE a także system zgłoszeń dla jądra Linuksa.
W tym konkretnym przypadku do udanego ataku oprócz wykorzystania wykrytych luk w Perlu, konieczne było odpowiednie skonfigurowanie samego trakcera. Wiele firm dla ułatwienia administracji stosuje wyrażenia regularne w celu sprawdzania adresu email osób z wybranych grup (np. @mozilla.com dla administratorów). Wykorzystanie luki pozwala na modyfikację pól wykorzystywanych do tworzenia nowego konta, co z kolei umożliwia obejście sprawdzania adresu email i założenie konta „spełniającego wymagania”, oraz otrzymanie uprawnień administratora. Taka konfiguracja nie jest natomiast niczym dziwnym, bo stosuje je dla wygody i automatyzacji wiele firm.
Wczoraj wydano poprawkę, która łata w Bugzilli miejsca podatne na atak. Duże firmy tworzące oprogramowanie i korzystające z tego systemu zdążyły już zaktualizować bugtrakcera do najnowszej wersji, który jest pozbawiony błędu. Niestety wiele mniejszych może być na niego cały czas podatna, a administratorzy mogą sobie nawet nie zdawać sprawy z istnienia tego zagrożenia. Szczegóły tego ataku będziemy mogli poznać podczas grudniowej konferencji Chaos Communications Congress, jaka odbędzie się w Niemczech.