Zellic

يعالج الوضع التكراري (-R) للأداة المساعدة chmod رموز الخروج بشكل غير صحيح عند معالجة ملفات متعددة. يتم تحديد قيمة الإرجاع النهائية بناءً على نجاح أو فشل معالجة الملف الأخير فقط. وهذا يسمح للأمر بإرجاع رمز خروج يساوي 0 حتى في حالة حدوث أخطاء، مثل «العملية غير مسموح بها»، أثناء معالجة الملفات السابقة. ونتيجة لذلك، قد تفترض البرامج النصية التي تعتمد على رموز الخروج هذه بشكل خاطئ أن العملية قد نجحت، في حين أن بعض الملفات لا تزال تحتفظ بأذونات غير صحيحة.

يؤدي عيب في وظيفة ChownExecutor التي تستخدمها الأوامر chown و chgrp إلى قيام هاتين الأداتين بإرجاع رمز خروج غير صحيح أثناء العمليات التكرارية. يتم تحديد رمز الخروج النهائي بناءً على الملف الأخير الذي تمت معالجته فقط. إذا نجحت العملية الأخيرة، فإن الأمر يُرجع القيمة 0 حتى لو فشلت تغييرات الملكية أو المجموعة السابقة بسبب أخطاء في الأذونات. وقد يؤدي ذلك إلى أخطاء في التكوين الأمني حيث تفترض البرامج النصية الإدارية بشكل خاطئ أن الملكية قد تم نقلها بنجاح عبر شجرة الدليل.

يسمح عيب في الأداة المساعدة mkfifo بتعديل أذونات الملفات الموجودة دون إذن. عندما تفشل الأداة المساعدة في إنشاء ملف FIFO بسبب وجود ملف مسبقًا في المسار المستهدف، فإنها لا توقف العملية. بدلاً من ذلك، تشرع في تنفيذ استدعاء set permissions، الذي يغير أذونات الملف الموجود إلى الوضع الافتراضي (عادةً 644 بعد umask). وقد يؤدي ذلك إلى كشف الملفات الحساسة، مثل المفاتيح الخاصة لـ SSH، للمستخدمين الآخرين على النظام.

تفشل الأداة المساعدة mktemp في التعامل بشكل صحيح مع متغير البيئة `TMPDIR` الفارغ. في حين أن التنفيذات الأخرى تلجأ إلى /tmp عندما تكون `TMPDIR` سلسلة فارغة، فإن هذا التنفيذ يعامل السلسلة الفارغة على أنها مسار صالح، مما يؤدي إلى إنشاء ملفات مؤقتة في دليل العمل الحالي. قد يؤدي هذا السلوك إلى وصول غير مصرح به إلى البيانات المؤقتة أو إلى كشف المعلومات إذا كان دليل العمل الحالي يتمتع بضوابط وصول أكثر تساهلاً مقارنةً بدليل الملفات المؤقتة الآمن المقصود.

تتعامل الأداة المساعدة `cut` بشكل غير صحيح مع الخيار -s (فقط المحددة) عند استخدام حرف نهاية السطر كمحدد. تفشل الدالة `cut fields newline char delim()` في التحقق من العلامة `only delimited`، مما يؤدي إلى قيام الأداة بطباعة أسطر غير محددة كان ينبغي حذفها. قد يتسبب هذا السلوك في تمرير بيانات غير متوقعة إلى البرامج النصية اللاحقة التي تعتمد على تصفية الإخراج الصارمة.

تقوم الأداة المساعدة dd بإخفاء الأخطاء أثناء عمليات اقتطاع الملفات عن طريق استدعاء الدالة `Result::ok()` دون قيد أو شرط عند محاولات الاقتطاع. على الرغم من أن الهدف من ذلك كان محاكاة سلوك GNU مع الملفات الخاصة مثل ’/dev/null‘، إلا أن هذا التنفيذ يخفي أيضًا حالات الفشل في الملفات والمجلدات العادية الناتجة عن أنظمة الملفات للقراءة فقط أو الأقراص الممتلئة. وقد يؤدي ذلك إلى تلف البيانات دون ظهور أي إشعار في نصوص الترحيل أو النسخ الاحتياطي، حيث يمكن للأداة الإبلاغ عن نجاح العملية على الرغم من احتواء الملف الوجهة على بيانات غير صالحة أو قديمة.

يحدث عيب في الأداة المساعدة tail عند استخدام الخيار ’--follow=name‘. يستمر التنفيذ في مراقبة المسار حتى بعد استبداله برابط رمزي، مما يؤدي إلى إخراج محتويات الملف المستهدف. يمكن لمهاجم محلي يتمتع بحق الكتابة في الدليل الخاضع للمراقبة استبدال ملف سجل برابط رمزي إلى ملف نظام حساس، مثل ’/etc/shadow‘، مما يتسبب في قيام الأداة بالكشف عن محتويات ذلك الملف إذا كان يخضع للمراقبة من قبل مستخدم يتمتع بامتيازات.

تقوم الأداة المساعدة `comm` بإتلاف البيانات دون إشعار مسبق من خلال إجراء تحويل UTF-8 مع فقدان البيانات على جميع أسطر الإخراج. يستخدم التنفيذ الدالة `String::from utf8 lossy()`، التي تستبدل تسلسلات بايت UTF-8 غير الصالحة بحرف الاستبدال في Unicode (U+FFFD). يؤدي هذا السلوك إلى إخراج تالف عند مقارنة الملفات الثنائية أو الملفات التي تستخدم ترميزات قديمة غير UTF-8، حيث إنه لا يحافظ على البايتات الأولية الأصلية.

تقوم الأداة المساعدة comm باستهلاك البيانات من مدخلات الملفات غير العادية بشكل غير صحيح قبل إجراء عمليات المقارنة. تفتح الدالة `are files identical()` كلا مساري الإدخال وتقرأ منهما لمقارنة المحتوى دون التحقق مما إذا كان المساران يشيران إلى ملفات عادية. إذا كان مسار الإدخال عبارة عن FIFO (ملف خاص يسمح بالاتصال بين العمليات) أو أنبوب، فإن عملية القراءة المسبقة هذه تستنزف الدفق، مما يتسبب في فقدان البيانات دون ظهور أي إشعار قبل تنفيذ منطق المقارنة الفعلي. علاوة على ذلك، قد تتوقف الأداة عن العمل إلى أجل غير مسمى عند محاولة القراءة المسبقة من تدفقات لا نهائية مثل ’/dev/zero‘.

أداة sort عرضة لحدوث حالة ذعر في العملية عند استخدام الخيار ’--files0-from‘ مع مدخلات تحتوي على أسماء ملفات غير مكتوبة بترميز UTF-8. تحدث هذه المشكلة لأن التنفيذ يفرض ترميز UTF-8 ويستخدم الدالة `expect()`، مما يؤدي إلى تعطل فوري عند مواجهة مسارات صالحة ولكنها غير مكتوبة بترميز UTF-8. يختلف هذا السلوك عن أداة GNU sort، التي تعالج أسماء الملفات كبايتات خام. يمكن لمهاجم محلي استغلال هذا الأمر لتعطيل الأداة وتعطيل سلاسل العمليات الآلية.

ثغرة في الأداة المساعدة rm تسمح بتجاوز الحماية التي توفرها الخيار --preserve-root. يستخدم النظام فحصًا لسلسلة المسار بدلاً من مقارنة أرقام الأجهزة ووحدات inode لتحديد الدليل الجذر. وهذا يسمح للمستخدم بتجاوز الحماية باستخدام رابط رمزي يُحل إلى الدليل الجذر، مما قد يؤدي إلى الحذف التكراري لنظام الملفات الجذر بأكمله.

تفشل الأداة المساعدة cp في التعامل بشكل صحيح مع بتات setuid و setgid عند فشل عملية الحفاظ على الملكية. عند استخدام العلامة ’-p‘ (الحفظ)، تطبق الأداة بتات وضع المصدر حتى في حالة فشل عملية chown. وقد يؤدي ذلك إلى احتفاظ نسخة مملوكة للمستخدم بالبتات المميزة الأصلية، مما يؤدي إلى إنشاء ملفات تنفيذية مميزة غير متوقعة تنتهك سياسات الأمان المحلية.

تفشل الأداة المساعدة mv في الحفاظ على ملكية الملفات عند نقل الملفات عبر حدود أنظمة الملفات المختلفة. في هذه الحالات، تستخدم الأداة المساعدة روتينًا للنسخ والحذف يقوم بإنشاء الملف الوجهة باستخدام معرّف المستخدم (UID) ومعرّف المجموعة (GID) الخاصين بالمستدعي بدلاً من البيانات الوصفية للمصدر. قد يؤدي هذا السلوك إلى أن تصبح الملفات التي ينقلها مستخدم ذو امتيازات مملوكة لهذا المستخدم، مما قد يؤدي إلى تقييد الوصول للمالكين المقصودين أو الكشف عن المعلومات.

توجد حالة تنافس بين وقت الفحص ووقت الاستخدام (TOCTOU) في الأداة المساعدة mkfifo. ويحدث ذلك عندما تقوم الأداة بإنشاء ملف FIFO ثم تنفذ أمر chmod استنادًا إلى المسار لتعيين الأذونات. يمكن لمهاجم محلي يتمتع بحق الكتابة في الدليل الأصلي استبدال قائمة FIFO التي تم إنشاؤها حديثًا برابط رمزي بين هاتين العمليتين، مما يؤدي إلى إعادة توجيه استدعاء chmod إلى ملف عشوائي. وقد يؤدي ذلك إلى تصعيد الامتيازات إذا تم تنفيذ الأداة بامتيازات مرتفعة. TOCTOU هو خطأ برمجي يحدث عندما يتحقق النظام من حالة أحد الموارد قبل استخدامها، ولكن تتغير الحالة بين وقت الفحص ووقت الاستخدام.

تقوم الأداة المساعدة mkdir بتطبيق الأذونات بشكل غير صحيح عند استخدام العلامة `-m`. تقوم الأداة بإنشاء دليل بأذونات مشتقة من umask (عادةً 0755)، ثم تغيرها إلى الوضع المطلوب باستخدام استدعاء نظام chmod منفصل. في البيئات متعددة المستخدمين، يؤدي هذا إلى ظهور نافذة زمنية قصيرة يظل خلالها الدليل المقصود أن يكون خاصًا متاحًا للمستخدمين الآخرين، مما قد يؤدي إلى الوصول غير المصرح به إلى البيانات.

توجد مشكلة «من وقت الفحص إلى وقت الاستخدام» (TOCTOU) في الأداة المساعدة mv أثناء عمليات النقل بين الأجهزة. يعتمد المنطق الخاص بالحفاظ على السمات الموسعة (xattr) على عدة استدعاءات نظامية قائمة على المسار، والتي تقوم بإجراء عمليات بحث جديدة عن المسار إلى العنصر الداخلي (inode) لكل عملية. يمكن لمهاجم محلي يتمتع بحق الكتابة في الدليل استغلال حالة التنافس هذه لتبديل الملفات بين الاستدعاءات، مما يؤدي إلى تلقي الملف الوجهة مزيجًا غير متسق من السمات الأمنية xattrs، مثل إمكانيات الملف أو تسميات SELinux.

تحتوي الأداة المساعدة «install» على حالة تنافس بين وقت الفحص ووقت الاستخدام (TOCTOU) أثناء تثبيت الملفات. ويحدث ذلك لأن التنفيذ يقوم بإلغاء ارتباط ملف الوجهة الموجود ثم يعيد إنشاؤه باستخدام عملية تعتمد على المسار دون استخدام العلامة `O EXCL`. يمكن لمهاجم محلي استغلال النافذة الزمنية بين إلغاء الارتباط وإعادة الإنشاء لاستبدال المسار برابط رمزي، مما يتيح إعادة توجيه عمليات الكتابة ذات الامتيازات للكتابة فوق ملفات نظام عشوائية. TOCTOU هو خطأ برمجي تتغير فيه حالة المورد بين وقت فحصه ووقت استخدامه.

توجد مشكلة تتعلق بـ «فترة الفحص إلى فترة الاستخدام» (TOCTOU) في الأداة المساعدة «install» عند استخدام العلامة «-D». يقوم الأمر بإنشاء الدلائل الأصلية ثم يجري عملية تحديد مسار ثانية لإنشاء الملف المستهدف، دون ربط أي من العمليتين بوصف ملف الدليل. يمكن للمهاجم الذي يتمتع بحق الوصول للكتابة المتزامنة استبدال أحد مكونات المسار برابط رمزي بين هاتين العمليتين، مما يؤدي إلى إعادة توجيه عملية الكتابة ذات الامتيازات إلى موقع عشوائي في نظام الملفات. TOCTOU هي حالة تنافس حيث يتم تعديل مورد النظام بين وقت فحصه ووقت استخدامه.

تتعرض الأداة المساعدة cp لحالة تنافس (race condition) تؤدي إلى كشف المعلومات. يتم إنشاء ملفات الوجهة مبدئيًا باستخدام أذونات مستمدة من umask (على سبيل المثال، 0644) قبل أن تقوم العملية بتقييدها إلى وضعها النهائي (على سبيل المثال، 0600). يمكن لمهاجم محلي استغلال هذه النافذة الزمنية لفتح الملف؛ ويظل واصف الملف الناتج صالحًا وقابلًا للقراءة حتى بعد تشديد الأذونات، مما يسمح بالوصول إلى محتوى حساس أو خاص.

يسمح عيب في الأداة المساعدة chmod للمستخدمين بتجاوز آلية الأمان --preserve-root. يتحقق التنفيذ من أن المسار المستهدف هو حرفياً ’/‘، لكنه يفشل في توحيد المسار. وهذا يسمح باستخدام أشكال مختلفة للمسار مثل ’/../‘ أو الروابط الرمزية لتنفيذ عمليات تكرارية مدمرة، مثل ’chmod -R 000‘، على نظام الملفات الجذري بأكمله، مما قد يؤدي إلى فقدان الأذونات على مستوى النظام بأكمله وتعطل النظام تمامًا.