Kritische RCE-Kette in UniFi OS Server ermöglicht Root-Zugang ohne Authentifizierung

Sicherheitslage und Risiko

Zudem liegt ein Fehler bei der Eingabevalidierung im Paket-Update-Dienst vor, ebenfalls mit einer CVSS-Bewertung von 10,0. Die einzige Voraussetzung für die Ausnutzung ist der Zugriff auf die Admin-Oberfläche, die üblicherweise auf dem TCP-Port 443 lauscht. Dies macht die Angriffs-Kette dort erreichbar, wo auch das Web-Management-Panel zugänglich ist.

Der Angriff besteht aus drei Phasen. In der ersten Phase wird das Authentifizierungsgateway umgangen. Nginx erzwingt die Authentifizierung über eine auth_request-Subanfrage an den unifi-core-Knotendienst, der entscheidet, ob eine Anfrage öffentlich ist oder authentifiziert werden muss.

Die Ursache liegt in einer Diskrepanz zwischen zwei Darstellungen desselben URIs. Die Prüfung auf öffentliche Ausnahmen erfolgt am rohen, percent-kodierten x-original-URI-Header, während Nginx die Anfrage jedoch mit dem normalisierten, dekodierten URI routet.

Sicherheitslage und Risiko

Eine speziell konstruierte Anfrage, deren rohe Form mit dem auth-exempt-Vorfix /api/auth/validate-sso/ beginnt, während ihre normalisierte Form auf eine interne /proxy/-Route auflöst, passiert das Gateway ohne jegliche Credentials. In der zweiten Phase wird die Schwachstelle für die Befehlseingabe erreicht.

Hinter dem Gateway befindet sich eine package-update-Route im gemeinsamen Identitäts- und Update-Backend. Der Handler erstellt einen Befehlsstring mit `fmt.Sprintf` unter Verwendung eines Formats wie `sudo /usr/bin/ uos runnable latest-versions % v`. Dabei wird der vom Aufrufer bereitgestellte Paketname wörtlich unter `% v` eingefügt.

In Version 3.1.16 erfolgt keine Validierung dieses Namens, und der String wird an ein Hilfsprogramm übergeben, das ihn über einen `sh -c`-Shell-Wrapper ausführt. Shell-Metazeichen im Eingabewert werden interpretiert und nicht als Daten behandelt, was eine beliebige Befehlseinspritzung ermöglicht. Der dritte Teil eskaliert die Berechtigungen auf Root.

Sicherheitslage und Risiko

Der injizierte Befehl wird unter dem Dienstkonto `ucs-update` ausgeführt. Dieses Konto hat Schreibzugriff auf `/etc/shadow`, was die vollständige Ausführung als Root bestätigt. Ubiquiti hat alle drei Schwachstellen in UniFi OS Server 3.2.12 behoben. Eine Nginx-URI-Normalisierungssicherung schließt den Gateway-Bypass.

Das Backend für Paket-Updates erhält eine Whiteliste für Paketnamen sowie eine Validierungsprüfung, um Injection-Angriffe zu verhindern.

Der Eintrag für `ucs-update` in der Datei `/etc/sudoers` entfernt `/usr/bin/dpkg` und `/bin/chmod` aus der Liste der Befehle, die ohne Passwort ausgeführt werden dürfen, wodurch die Angriffsfläche für Privilegien-Eskalationen verkleinert wird. Verteidiger sollten umgehend auf UniFi OS Server 3.2.12 oder eine neuere Version aktualisieren.

Sicherheitslage und Risiko

Zusätzlich ist das Rotieren des JWT-Signaturschlüssels, das Erzwingen des Abloggens aller Sitzungen und das Zurücksetzen der Datenbankzugangsdaten erforderlich. Da die Angriffs-Kette den Zugriff auf Root-Rechte ohne Authentifizierung und ohne Benutzerinteraktion ermöglicht, hinterlässt sie keine Spuren fehlgeschlagener Login-Versuche in den Logs.

Der externe Zugriff auf die Web-Oberfläche muss eingeschränkt und auf ein Management-Netzwerk begrenzt werden, damit nicht authentizierte Anfragen aus dem Internet das Gateway nicht erreichen können. ### SvyTech-Einordnung Die Schwachstellenkette in der UniFi OS Server ist besonders kritisch, da sie den vollständigen Zugriff auf das Netzwerkmanagement ohne vorherige Authentifizierung ermöglicht.

Die Kombination aus Gateway-Bypass und unsanitized Input im Update-Backend erlaubt es Angreifern, direkt Root-Rechte zu erlangen und persistente Admin-Sitzungen zu fälschen, die selbst nach einem Patch bestehen bleiben können. ### Was Leser daraus mitnehmen Administratoren von Ubiquiti-Geräten müssen sofort auf Version 3.2.12 oder höher aktualisieren und alle aktiven Sitzungen abmelden.

Zudem sollte der Zugriff auf die Admin-Oberfläche (Port 443) strikt auf ein internes Management-Netzwerk beschränkt werden, um Angriffe aus dem Internet zu verhindern.