网络文件系统 (NFS) 协议中经常被忽视的漏洞

HvS-Consulting GmbH 发布了一份技术报告，揭示了网络文件系统 (NFS) 协议中经常被忽视的漏洞。NFS 广泛用于跨平台远程文件访问，但由于配置错误和安全功能利用不足，其灵活性无意中带来了安全挑战。

该报告概述了研究团队对 NFS 漏洞的探索，重点关注其安全属性、常见配置错误以及利用这些漏洞的方法。研究人员强调，虽然这些问题的根源在于协议的预期功能，但不正确的配置会大大增加风险。正如报告所指出的，NFS 在家庭和企业环境中仍然很普遍，但它经常配置错误，导致关键数据暴露给未经授权的访问。

研究人员透露：“我们已经发现了很多问题，从未经身份验证访问最新的研发数据，到在其他方面得到严格强化的环境中备份所有虚拟机。”

报告强调了该协议的主要安全特性和挑战：

• 身份验证方法： NFS 支持多种身份验证方式，包括AUTH_SYS（默认）和 Kerberos。虽然 AUTH_SYS 易于配置，但它缺乏加密验证，而是依赖于未经验证的 UID 和 GID。Kerberos 身份验证（尽管更安全）由于其复杂性而未得到充分利用，尤其是在 Linux 环境中。

• 导出配置：/etc/exports文件中导出配置不当可能会使目录暴露给未经授权的访问。启用no_root_squash 或未能限制客户端访问等错误配置会加剧安全风险。

• 子树检查误用：禁用subtree_check（通常是 Linux 系统中的默认设置）可能会无意中允许访问预期导出目录之外的文件，尤其是在 ext4、xfs 和 btrfs 等共享文件系统中。

该报告概述了攻击者可以利用 NFS 漏洞的各种方法：

• UID/GID 欺骗：如果没有适当的身份验证机制，攻击者可以冒充用户或组来访问文件。

• 权限提升：通过利用不安全的配置（例如no_root_squash），攻击者可以以提升的权限上传和执行二进制文件。

• 目录逃逸：错误配置的导出和禁用的子树检查允许攻击者遍历和访问导出目录之外的文件，包括/etc/shadow等敏感文件。

HvS-Consulting 开发了专门的工具来识别和利用 NFS 错误配置，包括：

• fuse_nfs： NFS 的 FUSE 驱动程序，可透明地映射 UID 和 GID 以绕过身份验证机制并访问文件。

• nfs_analyze：一种用于评估服务器配置、识别错误配置（如no_root_squash）以及测试对敏感目录（如/etc/shadow ）的访问的工具。

为了缓解这些漏洞，报告建议：

1. 限制访问：限制 NFS 导出到特定客户端并实施严格的网络分段。

2. 启用身份验证：使用 Kerberos 或较新的协议（如 RPC-with-TLS）实现安全的客户端-服务器通信。

3. 优化导出配置：避免启用no_root_squash， 尽可能使用all_squash ，并确保导出在其自己的文件系统中是隔离的。

4. 定期审计：不断审查和更新 NFS 配置以确保遵守最佳实践。

详细分析报告：

https://www.hvs-consulting.de/en/nfs-security-identifying-and-exploiting-misconfigurations/

原文始发于微信公众号（独眼情报）：网络文件系统 (NFS) 协议中经常被忽视的漏洞