Faktory — это сервер фоновых заданий, не зависящий от языка. В версиях до 1.10.0 встроенный загрузчик Redis уязвим из-за небезопасной уязвимости временного файла, которая позволяет локальному непривилегированному пользователю перехватить конфигурацию Redis и перейти к root-доступу. Он записывает свою конфигурацию запуска в фиксированный, предсказуемый, доступный для записи путь /tmp/redis.conf, создавая файл только в том случае, если он еще не существует, и никогда не проверяя его при последующих загрузках.
Поскольку /tmp доступен для записи всем, локальный непривилегированный пользователь может предварительно создать /tmp/redis.conf с выбранными злоумышленником директивами Redis до запуска Faktory, и Faktory будет использовать внедренный файл дословно. Faktory переопределяет только параметры unixsocket, dir и logfile, оставляя такие директивы, как привязка, защищенный режим, requirepass и loadmodule, под контролем злоумышленника. Это позволяет злоумышленнику незаметно раскрыть всю очередь заданий через неаутентифицированный сетевой порт без видимой ошибки для администратора.
Поскольку официальный модуль systemd запускает Faktory и дочерний redis-сервер, который он порождает, от имени пользователя root, злоумышленник также может предоставить директиву loadmodule для выполнения произвольного собственного кода в процессе Redis, принадлежащем root, переходя от локального непривилегированного пользователя к пользователю root. Эта проблема исправлена в версии 1.10.0.
Показать оригинальное описание (EN)
Faktory is a language-agnostic background job server. In versions prior to 1.10.0, the embedded Redis bootstrapper is vulnerable to an insecure temporary file flaw that lets a local unprivileged user hijack the Redis configuration and escalate to root. It writes its startup configuration to a fixed, predictable, world-writable path, /tmp/redis.conf, only creating the file if it does not already exist and never validating it on later boots. Because /tmp is world-writable, a local unprivileged user can pre-create /tmp/redis.conf with attacker-chosen Redis directives before Faktory starts, and Faktory will use the planted file verbatim. Faktory only overrides the unixsocket, dir, and logfile options, leaving directives such as bind, protected-mode, requirepass, and loadmodule attacker-controlled. This lets an attacker silently expose the entire job queue over an unauthenticated network port with no visible error to the administrator. Because the official systemd unit runs Faktory, and the redis-server child it spawns, as root, an attacker can also supply a loadmodule directive to execute arbitrary native code in the root-owned Redis process, escalating from a local unprivileged user to root. This issue is fixed in version 1.10.0.
Характеристики атаки
Последствия
Строка CVSS v4.0