shutil.copy2 race condition leading to local file disclosure

Aperta

#96,719 aperta il 9/9/2022 1 commento 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà: 4/5
Tempo stimato: 3-5 giorni
Idoneità per principianti: 45/100

Tipo di issue: Bug
Chiarezza: Abbastanza chiara
Stato di attività: Tranquilla
Stack tecnologico: python
Ambito: operating-systems, security

Direzione di ricerca

Esamina prima Lib/shutil.py intorno alla riga 434 e il proof of concept raceread collegato, concentrandoti sull’ordine della copia e della gestione dei permessi su POSIX. Il lavoro è completato quando la divulgazione di file locali segnalata non è più riproducibile nei casi POSIX interessati e il comportamento è stato verificato rispetto allo scenario dell’issue.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

stdlib type-bug type-security

Bug report

shutil.copy2 first copies the contents (creating the file with default permissions), then sets the permissions. This allows a local attacker that can read the directory to quickly grab the contents of the file before the permissions are changed. (This was reported to security@ on 2022-02-04 and has now been publicly disclosed - the link has some extra detail. Creating the bug here as directed.)

Source code: https://github.com/python/cpython/blob/3.10/Lib/shutil.py#L434

Note that changing the permissions after file creation but before writing content is insufficient: if the file is created with permissions that allow the attacker to open it, the attacker can get a file handle for the (empty) file. Under POSIX, the handle remains valid and readable even if the permissions change, allowing the attacker to read the file contents when they're populated. (@tiran, please feel free to add the info from your security@ response.)

I've confirmed that this is reliably exploitable (if the file is being created in a directory that the attacker can read), proof of concept code is available in https://github.com/janschejbal/raceread/. This is relevant in practice due to questionable choices by some distributions, causing many home directories to be created with permissions 755, i.e. world-readable (Ubuntu only changed that in 21.04).

Your environment

I've tested this on Python 3.8.10 on Ubuntu 20.04.3 LTS, but I believe it to affect all versions on any POSIX-compliant platform.

Lingua principale: Python
Stelle: 77.2k
Fork: 36k
Merge medio: 1g 9h
PR unite (30g): 558

Guida per i contributori

Apri la guida per i contributori

Come iniziare

Leggi tutta la issue e poi la guida ai contributi del progetto.
Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
Fai un fork del repository e lavora su un branch.
Apri una pull request che faccia riferimento al numero della issue.