Canonical ubuntu-pro-client làm lộ tệp nhạy cảm qua symlink trong pro collect-logs

Tồn tại một lỗ hổng theo symlink không an toàn trong Canonical ubuntu-pro-client (trước đây là ubuntu-advantage-tools), thuộc framework lệnh pro collect-logs. Tiện ích này tạo hoặc sử dụng các đường dẫn tệp tạm có thể dự đoán hoặc các thư mục log mà người dùng có thể truy cập khi thu thập thông tin chẩn đoán, nhưng không xác minh loại tệp hoặc quyền sở hữu. Kẻ tấn công cục bộ không có đặc quyền có thể khai thác hành vi này bằng cách tạo một liên kết tượng trưng (symlink) tại một đường dẫn đích có thể dự đoán, trỏ tới một tệp bất kỳ mà root có thể đọc (chẳng hạn như /etc/shadow hoặc các tệp riêng tư trong /root). Khi administrator hoặc operator thực hiện lệnh pro collect-logs với quyền root sau đó, công cụ sẽ đi theo symlink do người dùng kiểm soát, đọc tệp đích và nén nội dung của tệp đó vào diagnostic support archive được tạo ra. Vì archive đầu ra vẫn có thể được người dùng không có đặc quyền đọc, kẻ tấn công có thể giải nén và đọc các tệp nhạy cảm thuộc quyền sở hữu của root, dẫn đến việc tiết lộ hoàn toàn các bí mật của hệ thống.

Các thông tin affected được cung cấp xác định ubuntu-pro-client với phiên bản nhỏ hơn 37.3 là bị ảnh hưởng. Bảng trạng thái của Canonical cung cấp các mốc sửa lỗi theo từng nhánh Ubuntu như sau:

• Ubuntu 26.04 LTS: ubuntu-advantage-tools được sửa tại 37.2ubuntu0.1.
• Ubuntu 24.04 LTS: được sửa tại 37.2ubuntu~24.04.1.
• Ubuntu 22.04 LTS: được sửa tại 37.2ubuntu~22.04.1.
• Ubuntu 20.04 LTS: được sửa tại 37.1ubuntu0~20.04.1; bản sửa này có sẵn qua Ubuntu Pro.
• Ubuntu 18.04 LTS: được sửa tại 37.1ubuntu0~18.04.1; bản sửa này có sẵn qua Ubuntu Pro.
• Ubuntu 16.04 LTS: được sửa tại 37.1ubuntu0~16.04.1; bản sửa này có sẵn qua Ubuntu Pro với Legacy Support add-on.
• Ubuntu 14.04 LTS: Canonical liệt kê là không bị ảnh hưởng.
• Ubuntu 25.10: Canonical liệt kê trạng thái ignored vì đã hết vòng đời; trang trạng thái được kiểm tra không cung cấp mốc package sửa lỗi cho nhánh này.

Bản ghi và advisory của Canonical mô tả phạm vi ảnh hưởng của lỗi symlink là Ubuntu 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS và 26.04 LTS. Không nên suy ra trạng thái của một nhánh song song chỉ từ mốc sửa lỗi của nhánh khác.

Lỗ hổng nằm trong framework của lệnh pro collect-logs, khi công cụ thu thập log thông qua các đường dẫn tạm có thể dự đoán hoặc các thư mục log mà người dùng có quyền truy cập. Công cụ không xác minh đầy đủ loại tệp hoặc quyền sở hữu trước khi xử lý các mục này.

1. Kẻ tấn công cục bộ không có đặc quyền cao tạo một symlink tại vị trí có thể dự đoán, trỏ tới tệp mà root có thể đọc.
2. Khi administrator hoặc operator chạy pro collect-logs với quyền root, công cụ có thể đi theo symlink do người dùng kiểm soát và đọc tệp đích.
3. Nội dung được đưa vào diagnostic support archive, sau đó archive vẫn có thể được người dùng không đặc quyền đọc.

Cơ chế này phù hợp với CWE-59, Improper link resolution before file access. Bằng chứng hiện có không xác định tên chính xác của đường dẫn tạm, thư mục log hoặc định dạng archive trong mọi triển khai.

Lỗ hổng có thể bị khai thác cục bộ bởi người dùng không đặc quyền. Điều kiện khai thác gồm quyền tạo symlink tại vị trí mà pro collect-logs sẽ xử lý, cùng với việc administrator hoặc operator chạy lệnh thu thập log sau đó.

• Mức độ phức tạp được ghi nhận là thấp.
• Tương tác của người dùng là bắt buộc vì cần một operator có quyền root chạy pro collect-logs.
• Kết quả phụ thuộc vào việc archive đầu ra có thể được người dùng không đặc quyền đọc.
• Bản ghi được cung cấp không xác nhận exploit công khai; cũng không cung cấp bằng chứng xác thực về khai thác đang diễn ra.

Kết quả kỹ thuật được xác nhận là disclosure dữ liệu: nội dung của tệp mà root có thể đọc có thể bị đưa vào diagnostic support archive và được người dùng cục bộ không đặc quyền đọc lại. Phạm vi ảnh hưởng là tính bí mật của dữ liệu trên cùng hệ thống; bằng chứng hiện có không xác nhận thay đổi tính toàn vẹn hoặc tính sẵn sàng.

• Các tệp riêng tư của administrator hoặc dữ liệu nhạy cảm khác có thể bị lộ nếu được chọn làm đích của symlink.
• Lỗ hổng không tự nó chứng minh quyền ghi, thực thi mã hoặc leo thang đặc quyền; hậu quả được xác nhận là đọc và tiết lộ thông tin.
• Mức độ thiệt hại thực tế phụ thuộc vào các tệp mà tiến trình root có thể đọc và nội dung được đưa vào archive.
• Nếu archive đã bị truy cập trái phép, tổ chức cần đánh giá dữ liệu đã lộ, các tài khoản hoặc bí mật liên quan và yêu cầu lưu giữ bằng chứng phục vụ điều tra.

Lỗ hổng có thể làm lộ thông tin nhạy cảm từ các tệp thuộc quyền sở hữu của administrator, bao gồm thông tin xác thực, cấu hình riêng tư hoặc bí mật hệ thống nếu các tệp đó được đọc vào support archive. Rủi ro tập trung vào tính bí mật của máy và có thể ảnh hưởng đến tài khoản, khóa hoặc thông tin vận hành được lưu trong các tệp root-readable.

• Một archive bị lộ có thể cho phép người dùng cục bộ đọc dữ liệu vượt quá quyền thông thường của họ.
• Việc truy xuất dữ liệu không được xác nhận là làm thay đổi tệp hoặc làm gián đoạn dịch vụ.
• Nếu quá trình điều tra xác nhận dữ liệu nhạy cảm đã nằm trong archive mà người dùng không được phép đọc, tổ chức nên đánh giá phạm vi lộ lọt và cân nhắc thay đổi các thông tin xác thực liên quan.

1. Cập nhật package theo đúng nhánh Ubuntu đang sử dụng. Các mốc được Canonical xác nhận là 37.2ubuntu0.1 cho Ubuntu 26.04 LTS, 37.2ubuntu~24.04.1 cho Ubuntu 24.04 LTS, 37.2ubuntu~22.04.1 cho Ubuntu 22.04 LTS, 37.1ubuntu0~20.04.1 cho Ubuntu 20.04 LTS, 37.1ubuntu0~18.04.1 cho Ubuntu 18.04 LTS và 37.1ubuntu0~16.04.1 cho Ubuntu 16.04 LTS.
2. Trên Ubuntu 20.04 LTS, 18.04 LTS và 16.04 LTS, xác nhận hệ thống có quyền Ubuntu Pro hoặc Legacy Support cần thiết để nhận bản sửa tương ứng.
3. Nếu chưa thể cập nhật ngay, tạm thời tránh chạy pro collect-logs với quyền root trên máy có người dùng cục bộ không đáng tin cậy, đồng thời lưu archive trong vị trí chỉ root có thể truy cập. Đây là biện pháp giảm rủi ro vận hành, không thay thế cho việc cập nhật.
4. Sau khi cập nhật, xác minh package thực tế trên máy và kiểm tra rằng hành vi xử lý đã loại bỏ symlink log trong các cây thư mục do người dùng kiểm soát và giới hạn permission của support archive ở quyền root.
5. Ubuntu 14.04 LTS được Canonical liệt kê là không bị ảnh hưởng. Với Ubuntu 25.10, cần xử lý theo trạng thái hết vòng đời của nhánh vì nguồn được kiểm tra không nêu mốc sửa lỗi cho nhánh này.

• Kiểm kê các máy cài ubuntu-pro-client hoặc ubuntu-advantage-tools, đồng thời xác định các nhánh Ubuntu đang sử dụng phiên bản chưa được cập nhật.
• Xác định các hệ thống thường chạy pro collect-logs với quyền root, đặc biệt là máy có nhiều người dùng cục bộ hoặc thư mục log mà người dùng thường có thể ghi.
• Kiểm tra các cây thư mục log liên quan để tìm symlink và xác minh rằng các mục được thu thập là tệp log thông thường, không phải liên kết tới tệp nhạy cảm.
• Kiểm tra quyền sở hữu và permission của các diagnostic support archive đã tạo. Bản sửa của Canonical loại bỏ symlink log trong cây thư mục do người dùng kiểm soát và giới hạn archive do pro collect-logs tạo ở quyền chỉ root.
• Rà soát các archive hiện có để phát hiện nội dung ngoài phạm vi log chẩn đoán dự kiến. Không có IOC hoặc sự kiện log cụ thể nào được xác định trong bằng chứng hiện có; việc không tìm thấy dấu hiệu không chứng minh hệ thống an toàn.