近期，Microsoft 365 Defender研究團隊發現了兩個名為“Nimbuspwn”的Linux提權漏洞(編號為CVE-2022-29799和CVE-2022-29800)，攻擊者可以利用該漏洞進行各種惡意活動，包括部署惡意軟件。根據微軟發布的公告，這些漏洞可以鏈接在一起以獲得Linux系統的root權限，允許攻擊者部署有效負載，如root后門，并通過執行任意root代碼從而達到運行其他惡意操作的目的。通過利用這些漏洞來實現對目標系統root的訪問權，并部署更復雜的威脅，例如勒索軟件。

這些漏洞存在于名為networked-dispatcher的systemd組件中，該組件是系統網絡連接狀態變化的調度守護進程。在對網絡調度程序的代碼流的審查揭示了多個安全問題，包括目錄遍歷、符號鏈接競爭和檢查-使用-時間競爭條件問題。

研究人員開始列舉以root用戶身份運行并監聽系統總線上消息的服務，并執行代碼審查和動態分析。將這些問題串聯起來，那么攻擊者只要控制著可以發送任意信號的D-Bus服務，即便是最后妥協時也可以部署后門。

研究人員能夠開發自己的漏洞利用程序，以root身份運行任意腳本。該漏洞利用還將/bin/sh復制到/tmp目錄，將/tmp/sh設置為 Set-UID (SUID)可執行文件，然后調用“/tmp/sh -p”。(“-p”標志是強制shell不放棄特權所必需的)。對此，研究人員建議networkd-dispatcher的用戶更新他們的安裝。為了解決當前存在的特定漏洞，Microsoft Defender for Endpoint的端點檢測和響應(EDR)功能需要具備能檢測到利用Nimbuspwn所需的目錄遍歷攻擊。

參考來源：https://securityaffairs.co/wordpress/130662/hacking/nimbuspwn-linux-flaws.html