QNAP Sudoedit Yetki Yükseltme Zafiyeti İçin Güncelleme Yayınladı (CVE-2023-22809)!

‍

Söz konusu zafiyet 18 Ocak’ta araştırmacılar tarafından keşfedilmiş, ancak QNAP tarafından zafiyeti gideren bir güncelleme bugüne kadar yayınlanmamıştı. CVE-2023-22809 (CVSS skor:7.8) olarak takip edilen zafiyet, sürüm 1.9.12p1’de sudoedit kullanılırken sudoers prensibinin atlatılmasına ve dosyalara yetkisiz erişimlere imkân sağlıyor.

Bilindiği üzere sudoedit, bir kullanıcının yetkili erişimle dosya düzenlemesine olanak tanıyor. Bu komut, sistem yapılandırma dosyaları gibi yönetici ayrıcalıkları gerektiren dosyaları düzenlemek için kullanılabiliyor. Kullanıcı, sudoedit komutunu hedef dosya adıyla birlikte çalıştırdığında, komut önce kullanıcının dosyayı düzenleme iznine sahip olup olmadığını doğruluyor. Eğer kullanıcı yetkilendirilmişse, sudo komutunu kullanarak dosyayı düzenleme işlemini gerçekleştirilmesine izin veriliyor.

Bu işlem, kullanıcının tercih ettiği metin editörü kullanılarak gerçekleştiriliyor ve düzenlenen dosyanın güvenli bir şekilde kaydedilmesini sağlıyor. Zafiyetin esas kaynağı da sisteme erişim hakkı olan saldırganın SUDO_EDITOR, EDITOR, VISUAL gibi ortam değişkenlerini editleyerek sudoedit komut dosyasına parametre enjekte edebilmesinden kaynaklanıyor.  - - (dash dash) komutlarına ilaveten erişmek istediği, fakat erişim yetkisi olmayan dosya adını da ortam değişkenine ekleyebilen saldırgan, sudoer komutundaki zafiyet nedeniyle bu dosyaya erişim hakkı elde ediyor.