NixOS Nix phân quyền sai client daemon trên macOS và FreeBSD không sandbox

Nix trước 2.35.3, khi chạy không sandbox trên macOS hoặc FreeBSD, cho phép không đúng các kết nối do build user thực hiện từ daemon clients.

• Bản ghi chuẩn hóa đánh dấu Nix bị ảnh hưởng trong các nhánh: từ 0 đến trước 2.28.8; từ 2.29.0 đến trước 2.30.6; từ 2.31.0 đến trước 2.31.6; từ 2.32.0 đến trước 2.34.9; và từ 2.35.0 đến trước 2.35.3.
• Nguồn tư vấn của NixOS cũng cho biết các bản cũ hơn bị ảnh hưởng ở các mức độ khác nhau. Các dòng 2.29.x, 2.32.x và 2.33.x không còn được Nix duy trì và sẽ không nhận bản sửa lỗi.
• Các bản sửa lỗi được xác nhận là 2.28.8, 2.30.6, 2.31.6, 2.34.9 và 2.35.3.
• Điều kiện nền tảng quan trọng của lỗi này là Nix chạy không sandbox trên macOS hoặc FreeBSD; không nên mở rộng kết luận ảnh hưởng sang mọi triển khai Nix nếu chưa xác minh điều kiện đó.

Nix không thực hiện đúng việc từ chối các kết nối bắt nguồn từ build user khi daemon chạy ở chế độ không sandbox trên macOS hoặc FreeBSD. Thành phần bị ảnh hưởng là đường xử lý phân quyền kết nối giữa client và nix-daemon; nguồn tư vấn tham chiếu cơ chế LOCAL_PEERCRED, nhưng không nêu chính xác hàm hoặc phép kiểm tra bị lỗi. Kẻ tấn công cần có khả năng hoạt động cục bộ trong ngữ cảnh build user; bản ghi chuẩn hóa mô tả khả năng tiếp cận là local, không yêu cầu xác thực hay tương tác người dùng và có độ phức tạp thấp. Nguồn tư vấn cho biết điều kiện này làm tăng tác động của một khai thác repair không yêu cầu đặc quyền, nhưng bằng chứng hiện có chưa chứng minh riêng lỗi này tạo ra đường dẫn trực tiếp đến thực thi mã tùy ý hoặc giành quyền root.

Lỗi có thể bị tiếp cận cục bộ và chỉ áp dụng khi Nix chạy không sandbox trên macOS hoặc FreeBSD. Bản ghi chuẩn hóa cho biết không cần đặc quyền trước, không cần người dùng tương tác và độ phức tạp khai thác thấp. Nguồn tư vấn mô tả daemon không từ chối đúng các kết nối từ build user, qua đó làm trầm trọng thêm tác động của lỗi repair không đặc quyền. Bản ghi không xác định việc khai thác trong thực tế đã xảy ra; không có public exploit nào được xác định trong dữ liệu được cung cấp.

Lỗi làm suy yếu kiểm soát phân quyền tại ranh giới giữa build user và Nix daemon, có thể cho phép một peer cục bộ thực hiện kết nối mà daemon lẽ ra phải từ chối. Kết quả được ghi nhận là tác động đến integrity với phạm vi tin cậy thay đổi; bản ghi không chỉ ra tác động đến confidentiality hoặc availability. Nguồn tư vấn cho biết lỗi có thể khuếch đại tác động của khai thác repair không đặc quyền, bao gồm khả năng góp phần vào chuỗi dẫn đến nâng quyền trong tổ hợp lỗi, nhưng không chứng minh rằng CVE này một mình tạo ra quyền root. Hậu quả tổ chức thực tế phụ thuộc vào việc daemon multi-user, build user và derivation không tin cậy có cùng hiện diện hay không.

Các môi trường dùng Nix để build mã hoặc derivation không tin cậy có thể cho phép build user tiếp cận các thao tác daemon vốn cần được giới hạn theo danh tính peer. Tác động chính được mô tả là ảnh hưởng đến integrity, trong phạm vi ranh giới tin cậy giữa build user và daemon; không có tác động đến confidentiality hoặc availability được xác nhận trong bản ghi. Rủi ro đáng chú ý hơn trong các triển khai multi-user trên macOS hoặc FreeBSD chạy không sandbox. Nguồn tư vấn liên kết lỗi này với việc làm tăng tác động của một khai thác repair, nhưng không cung cấp bằng chứng về một vụ xâm nhập, nạn nhân hoặc chiến dịch cụ thể.

1. Nâng cấp Nix lên một bản sửa lỗi được xác nhận: 2.28.8, 2.30.6, 2.31.6, 2.34.9 hoặc 2.35.3, tùy nhánh được hỗ trợ mà hệ thống đang sử dụng.
2. Với các dòng không còn được duy trì như 2.29.x, 2.32.x và 2.33.x, chuyển sang một nhánh được hỗ trợ có bản sửa lỗi thay vì chờ bản vá cho nhánh cũ.
3. Ưu tiên xử lý các máy macOS và FreeBSD chạy Nix không sandbox, đặc biệt nếu build user có thể kết nối đến daemon hoặc hệ thống build derivation không tin cậy.
4. Nguồn tư vấn hiện có không nêu một workaround riêng được xác nhận cho lỗi này. Nếu chưa thể nâng cấp, hãy hạn chế build derivation không tin cậy và giảm khả năng daemon nhận kết nối từ build user như một biện pháp giảm rủi ro tạm thời, không xem đây là thay thế cho bản vá.

1. Kiểm kê hệ điều hành, phiên bản Nix và các triển khai có sử dụng daemon, đặc biệt là các cài đặt multi-user.
2. Đối chiếu phiên bản Nix với các nhánh bị ảnh hưởng trong phần affected summary, thay vì chỉ kiểm tra xem bản vá có tồn tại hay không.
3. Xác định các máy macOS hoặc FreeBSD đang chạy Nix không sandbox và xem build user có thể tương tác với daemon hay không.
4. Nếu hệ thống ghi nhận peer credentials hoặc danh tính tiến trình, rà soát các kết nối daemon bắt nguồn từ build user. Đây là kiểm tra phòng ngừa, không phải IOC được nguồn tư vấn xác nhận.
5. Không coi việc không thấy bản ghi kết nối đáng ngờ là bằng chứng hệ thống an toàn; việc đánh giá phải dựa trước hết trên phiên bản và cấu hình triển khai.