Linux capabilities: root spezzato in pezzi (sfruttabili)

28 settembre 2024 · 1 min di lettura · #linux #privilege-escalation #capabilities

Le capability suddividono i privilegi di root in unità (es. CAP_NET_RAW, CAP_SETUID). Un binario può averne alcune senza essere SUID. Alcune, però, equivalgono a root.

Le pericolose

cap_setuid: il binario può diventare root (python -c 'import os; os.setuid(0); os.system("/bin/sh")' se python ha quella capability). cap_dac_read_search: legge qualsiasi file (shadow). cap_sys_admin: quasi-root. cap_sys_ptrace: injection in processi root.

getcap -r / 2>/dev/null   # elenca le capability sui binari
# es: /usr/bin/python3.11 = cap_setuid+ep  -> root

Difesa

Assegna le capability minime indispensabili e mai a interpreti (python, perl) o binari con escape. Audit con getcap -r /. Nei container, drop di tutte le capability e riaggiunta selettiva. Preferisci capability a SUID, ma con la stessa disciplina di least privilege.

« torna alla home