Le joker '*' d'Unix

Une source de bien des dangers

Vous connaissez très certainement le joker (wildcard), représenté sous Unix et dérivés par le caractère '*'. Ce simple caractère permet à votre terminal de compléter lui-même et de manière automatique des éléments. Plus précisément, si avez un répertoire avec trois fichiers comme suit :
Et que j'exécute la commande suivante (pour lister des fichiers) :
Sans surprise, vous obtenez :
Le joker permet donc de substituer zéro ou plus caractère. Un ls * liste donc, tous les fichiers du dossier courant.
Un outil très utile donc, que vous avez déjà dû utiliser plusieurs fois.

Concept

Un chercheur a publié un document expliquant que cet outil, bien que très pratique est aussi une source de nombreux dangers. Voici un exemple de dossier piégé :
Nous voyons ici, un fichier inhabituel "-rf". Si l'utilisateur effectue un rm *, pour supprimer les fichiers actuels, sans supprimer les sous-dossiers, la commande réellement exécutée, sera :
Et, tristement, il ne restera plus rien de son dossier, ni de ses sous-dossiers.

Hijack du propriétaire et mode des fichiers

Certes, détruire des fichiers, ce n'est peut être pas le plus intéressant. Mais, en cherchant bien, nous pouvons trouver beaucoup plus intéressant et c'est ce qu'a fait le chercheur pour nous : chown.
Imaginons que l'administrateur souhaite changer le propriétaire de tous les fichiers du dossier suivant en "nobody" :
Il utilise la commande :
et le résultat est :
Comme vous pouvez le voir, tous les fichiers appartiennent maintenant à leon. Comme dans l'exemple précédent, la commande a traité le fichier --reference=.drf.php comme une option, option permettant de dire d'utiliser le propriétaire et le groupe d'un fichier, en place d'utiliser la notation PROPRIÉTAIRE:GROUPE.
Pire, avec un lien symbolique menant au dossier /etc/shadow, le propriétaire du dossier système aurait pu être modifié lui aussi.

Cette astuce peut être aussi utilisée avec chmod et les modifications du mode des fichiers.

Exécution de code arbitraire

Il est possible d'aller encore plus loin avec cette astuce. Cette fois, l'outil cible est tar (compression de fichiers) et son option :
Voici le contenu du dossier piégé :
Et la commande utilisée :
Vous l'avez deviné, shell.sh sera exécuté à l'insu de l'utilisateur lançant la compression.

Il est possible de faire la même chose avec rsync un autre outil très utilisé et l'option -e.

Ces astuces ne sont pas nouvelles et elles existent depuis plus de vingts ans. Ce n'est pas un bogue et comme toujours, il est du ressort de l'administrateur de faire très attention à ce qu'il exécute et le contenu des dossiers.

Votre opinion

Connaissiez-vous ces astuces ? Comment les avez-vous apprises ?
Avez-vous déjà rencontré ce genre de pièges avec le joker ?
Comment pouvons-nous nous en protéger ?

Source

Back To The Future: Unix Wildcards Gone Wild