CWE-61: Theo dõi liên kết tượng trưng UNIX (symlink)

Sản phẩm có thể cho phép symlink tham gia vào đường dẫn trong mã nội bộ hoặc qua đầu vào người dùng. Nếu kẻ tấn công tạo, thay thế hoặc kiểm soát symlink trước khi sản phẩm sử dụng đường dẫn, liên kết có thể phân giải tới vị trí ngoài phạm vi dự kiến và dẫn tới việc duyệt hệ thống tệp hoặc truy cập tệp tùy ý. Tùy thao tác, sản phẩm có thể đọc, ghi hoặc làm hỏng dữ liệu mà người dùng tấn công không được cấp quyền trực tiếp; rủi ro đặc biệt đáng kể khi chương trình có đặc quyền hoặc sử dụng thư mục tạm có thể bị can thiệp.

Điểm yếu xuất hiện khi đường dẫn có thể chứa symlink, dù đường dẫn được tạo trong mã nội bộ hay nhận từ đầu vào người dùng, nhưng chương trình không xác minh đầy đủ đích mà liên kết phân giải tới. Kẻ tấn công có thể giả mạo hoặc thay thế liên kết để khiến chương trình truy cập các vị trí ngoài phạm vi dự kiến, đặc biệt trong tệp tạm, chương trình đặc quyền, thao tác sao lưu, giải nén hoặc xử lý lỗi. Việc khai thác có thể cho phép đọc, ghi hoặc làm hỏng tệp mà kẻ tấn công ban đầu không có quyền truy cập.

Các phạm vi ảnh hưởng chính là tính bí mật và tính toàn vẹn. Kẻ tấn công có thể đọc các tệp hoặc thư mục lẽ ra không được phép truy cập, hoặc sửa đổi tệp và thư mục, bao gồm ghi đè, nối thêm dữ liệu hay làm hỏng tệp tùy ý.

• Hạn chế vùng lưu trữ tạm: Khi chương trình tạo thư mục tạm để lưu tệp hoặc liên kết, chỉ cho chương trình được truy cập thư mục đó nhằm ngăn kẻ tấn công thao túng nội dung.
• Áp dụng đặc quyền tối thiểu và phân tách đặc quyền: Giới hạn quyền truy cập và từ chối truy cập vào tệp khi có thể, qua đó giảm khả năng thay thế tệp bằng liên kết trỏ tới tệp nhạy cảm. Thực hiện phân vùng hợp lý để tạo các khu vực được bảo vệ và đáng tin cậy trong hệ thống.

Phân tích tĩnh tự động, còn gọi là SAST, có thể phát hiện một số trường hợp bằng cách phân tích mã nguồn hoặc mã nhị phân mà không cần chạy chương trình. Phương pháp này thường lập mô hình luồng dữ liệu và luồng điều khiển, sau đó tìm các mẫu kết nối nguồn dữ liệu đầu vào với các điểm đích tương tác với hệ điều hành hoặc thành phần bên ngoài; tuy nhiên, hồ sơ chỉ nêu khả năng phát hiện một số trường hợp, không phải mọi trường hợp.

Các ví dụ đại diện trong hồ sơ, không phải toàn bộ các lỗ hổng, gồm:

• CVE-1999-1386: Một số phiên bản Perl theo symlink khi chạy với tùy chọn -e, cho phép người dùng cục bộ ghi đè tệp tùy ý.
• CVE-2000-1178: Trình soạn thảo văn bản theo symlink khi tạo bản sao phục hồi, cho phép ghi đè tệp của người dùng khác.
• CVE-2004-0217: Cơ chế cập nhật phần mềm chống vi-rút cho phép tạo hoặc nối thêm vào tệp tùy ý qua symlink trên tệp nhật ký.
• CVE-2000-0972: Sản phẩm setuid cho phép đọc tệp bằng cách thay thế tệp đang chỉnh sửa bằng symlink tới tệp mục tiêu, sau đó làm lộ nội dung qua thông báo lỗi.
• CVE-2005-1879 và CVE-2005-1880: Các lỗ hổng symlink bậc hai.
• CVE-2015-3629: Một thành phần Libcontainer trong Docker Engine cho phép người dùng cục bộ thoát khỏi cơ chế cô lập và ghi vào tệp tùy ý trên máy chủ qua symlink trong image.
• CVE-2020-26277: Công cụ triển khai cơ sở dữ liệu MySQL xử lý gói tar độc hại chứa symlink ra ngoài đích, dẫn tới thực thi sau khi giải nén.
• CVE-2021-21272: Lỗ hổng Zip Slip trong sản phẩm registry OCI viết được tệp ngoài thư mục dự kiến qua symlink hoặc hard link trong tarball gzip.
• Hồ sơ cũng liệt kê CVE-2003-0517, CVE-2004-0689, CVE-2005-1916 và CVE-2005-0824 là các ví dụ liên quan tới ghi đè tệp, symlink trong chương trình Python hoặc dump do tín hiệu có theo symlink.