Omarchy qüsuru istənilən istifadəçi prosesinə parolsuz root hüququ verirdi

Proqramçılar üçün hazırlanmış Arch əsaslı Linux paylanması Omarchy, standart konfiqurasiyasında istifadəçinin masaüstü sessiyasında işləyən demək olar ki, hər proqrama root hüququ almağa imkan verirdi — parol, sudo və ya icazə sorğusu olmadan. Təhlükəsizlik tədqiqatçısı 0xCC problemi layihənin məsuliyyətli açıqlama proseduru ilə bildirdi və təfərrüatları konfiqurasiya düzəldildikdən sonra avqustun 28-də dərc etdi. Düzəliş Omarchy 4.0.1 versiyasındadır.

Problem: standart olaraq docker qrupu

Paylanma standart istifadəçini Linux docker qrupuna əlavə edirdi ki, bu da həmin hesaba sudo yazmadan Docker əmrlərini işlətməyə imkan verir. Arch-da Docker demonu root kimi işləyir və /var/run/docker.sock soketini dinləyir. docker qrupunun üzvləri bu soketlə əlaqə saxlaya bilər və Docker-ın öz sənədləri qrupun istifadəçiyə root səviyyəli imtiyazlar verdiyini xəbərdar edir.

Soketə çıxışı olan proses root kimi işləyən demonundan konteyneri root hüququ ilə başlatmağı, hostun fayl sisteminin istənilən hissələrini onun içində qoşmağı, həmin fayllarla root kimi işləməyi və orada kod işlətməyi xahiş edə bilər. Sübut qısadır: təsirlənmiş yeni quraşdırmada cat /etc/shadow "Permission denied" qaytarır, docker run --rm -v /:/hostroot alpine cat /hostroot/etc/shadow isə shadow faylının məzmununu çap edir — əmri adi istifadəçi prosesi başladır, fayl əməliyyatını isə root kimi işləyən demon yerinə yetirir.

Əhatə dairəsi: bütün sessiya

Linux-un əlavə qrupları alt proseslərə miras keçir, buna görə də docker qrupu istifadəçinin systemd --user nüsxəsi altındakı demək olar ki, hər adi prosesdə mövcud idi. Tədqiqatçı root əldə edə biləcək kod arasında süni intellekt kodlaşdırma agentlərini və agent mühitlərini, brauzerləri, redaktorları və IDE-ləri, npm skriptlərini, müxtəlif inkişaf alətlərini və fon proseslərini sadalayır. Praktikada bir adi tətbiqin ələ keçirilməsi bütün maşının ələ keçirilməsinə çevrilə bilərdi.

Konfiqurasiya opt-in deyil, opt-out xarakteri daşıyırdı: istifadəçi Docker-dan istifadə etmək məcburiyyətində deyildi, lakin güzəşt standart hesaba tətbiq edildi və izah olunmadı. Omarchy-nin inkişaf alətləri sənədləri "Docker-ı root kimi deyil, adi istifadəçi kimi işlətmək üçün lazım olan istifadəçi qrupu dəyişikliklərindən" bəhs edirdi — oxucunun rootless rejim kimi qəbul edə biləcəyi bir ifadə; halbuki belə deyildi.

Xronologiya, düzəliş və alternativ

docker qrupuna üzvlük 1 iyun 2025-ci ildə əlavə edildi, növbəti gün müvəqqəti söndürüldü, 17 iyun 2025-ci ildə yenidən aktivləşdirildi və nəhayət 24 avqust 2026-cı ildə standart konfiqurasiyadan çıxarıldı. 4.0.1-dən əvvəlki versiyalar təsirlənir; tədqiqatçı 3.x seriyasının son ISO-sunu (3.8.4) da yoxlayıb və davranışı orada da təsdiqləyib.

Konteynerləri root hüququ vermədən istifadə etmək istəyənlər üçün yazı Podman-ı tövsiyə edir: o, demonsuz işləyir və konteynerlər öz istifadəçi ad məkanlarında adi alt proseslər kimi çalışır. Tədqiqatçı cavab sürətinin onu təsirləndirdiyini bildirdi, lakin bunun Omarchy-də rastlaşdığı ilk təhlükəsizlik problemi olmadığını və hazırda layihənin qərar qəbul etmə prosesinə etibar etmədiyini əlavə etdi.