Log4J: AWS-Patch für Log4Shell ermöglicht Root-Rechte
Schon sehr früh und viel schneller als viele andere Konkurrenten hat der Cloud-Hoster AWS im vergangenen Dezember auf die auch als Log4Shell bekannte Sicherheitslücke (CVE-2021-44228) in der Java-Bibliothek Log4J reagiert und einen sogenannten Hotpatch dafür veröffentlicht. Wie die zu Palo Alto Networks gehörenden Sicherheitsforscher von Unit 42 nun aber berichten(öffnet im neuen Fenster) , hatte auch dieser Hotpatch selbst wiederum gravierende Sicherheitslücken.
Verteilt werden die Hotpatches von AWS als RPM oder DEB-Paket über einen Service in Amazon Linux, für Kubernetes-Cluster sowie auch für den eigenen Container-Host Bottlerocket. Die so aufgespielten Patches seien laut Unit 42 aber fehlerhaft und ließen sich dazu missbrauchen, etwa aus Containern auf den Host auszubrechen oder die eigenen Rechte zu erweitern und so Root-Rechte zu erlangen.
Rechteausweitung per Update
Die Ursache für die fehlerhaften Hotpatches von AWS ist dabei leicht zu verstehen. Laut den Forschern hab der Update-Dienst nach Binärdateien mit dem Namen "java" gesucht, um dessen Version abzufragen. Die Binärdatei ist anschließend ein zweites Mal aufgerufen worden, um im laufenden Betrieb das eigentliche Hotpatch-Update einzuspielen. Konkret handelt es sich dabei laut AWS um das Deaktivieren des Java Naming and Directory Interface (JNDI), das für Log4Shell genutzt wird.
Wie Unit 42 nun schreibt, sind beim zweiten Aufruf und dem damit verbundenen Neustart nicht die gleichen Rechte für Java vergeben worden wie vorher. In Containern sind etwa sämtliche Linux Capabilities vergeben worden, auch Seccomp und Cgroups seien nicht mehr genutzt worden, letztlich lief das Programm auch mit Root-Rechten. Auf Hostsystemen lief dies laut der Beschreibung ähnlich, eine Rechteeinschränkung habe nicht stattgefunden.
Für einen erfolgreichen Angriff oder auch Ausbruch aus dem Container reiche es also aus, eine eigene Anwendung mit dem Namen "java" in dem System unterzubringen. Der Update-Dienst erkennt diese dann und startet sie mit den erweiterten Rechten. AWS hat diese Fehler inzwischen behoben(öffnet im neuen Fenster) und stellt entsprechende Updates bereit.