Уязвимост в OverlayFS, която позволява повишаване на привилегиите

В ядрото на Linux в реализация на файловата система OverlayFS е открита уязвимост (CVE-2023-0386), която може да се използва за получаване на root права в системи, в които е инсталирана подсистемата FUSE и е разрешено монтирането на части OverlayFS от непривилегирован потребител (от версия на ядрото Linux 5.11 с активиране на непривилегированите пространства на имена на потребители). Проблемът е отстранен в клон на ядрото 6.2. Публикуването на обновления на пакетите в дистрибутивите може да се проследи на страниците: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

Атака производится через копирование файлов с флагами setgid/setuid из раздела, примонтированного в режиме nosuid, в раздел OverlayFS, имеющий слой, связанный с разделом, допускающим выполнение suid-файлов. Уязвимость близка к проблеме CVE-2021-3847, выявленной в 2021 году, но отличается более низкими требованиями к эксплуатации — в старой проблеме требовались манипуляции с xattrs, которые ограничены при использования пространств имён идентификаторов пользователя (user namespace), а в новой проблеме используются биты setgid/setuid, которые специально не обрабатываются в user namespace.

Алгоритъм за извършване на атаката:

• При помощи подсистемы FUSE монтируется ФС, в которой имеется принадлежащий пользователю root исполняемый файл с флагами setuid/setgid, доступным всем пользователям на запись. При монтировании FUSE выставляет режим «nosuid».
• Пространствата на имена на потребители и точките на монтиране (user/mount namespace) се отменят (unshare).
• Монтируется OverlayFS с указанием ранее созданной в FUSE ФС в качестве нижнего слоя и верхним слоем на базе каталога, допускающего возможность записи. Каталог верхнего слоя должен размещаться в ФС, при монтировании которой не используется флаг «nosuid».
• За suid файл в FUSE дяла, с утилитата touch, се променя времето на модификация, което води до неговото копиране в горния слой на OverlayFS.
• При копирането ядрото не премахва флаговете setgid/setuid, поради което файлът се появява в дял, допускащ обработка на setgid/setuid.
• За получаване на права root е достатъчно да се стартира файл с флагове setgid/setuid от каталога, прикрепен към горния слой на OverlayFS.

Допълнително, разработчиците от екипа на Google Project Zero разкриха три уязвимости, които бяха коригирани в основния клон на ядрото Linux 5.15, но не бяха пренесени в пакетите с ядро от RHEL 8.x/9.x и CentOS Stream 9.

• CVE-2023-1252 — обращение к уже освобождённой области памяти в структуре ovl_aio_req при одновременном совершении нескольких операций в OverlayFS, развёрнутой поверх ФС Ext4. Потенциально уязвимость позволяет повысить свои привилегии в системе.
• CVE-2023-0590 — обращение к уже освобождённой области памяти в функции qdisc_graft(). Предполагается, что эксплуатация ограничивается аварийным завершением.
• CVE-2023-1249 — обращение к уже освобождённой области памяти в коде записи coredump, возникающее из-за пропущенного вызова mmap_lock в file_files_note. Предполагается, что эксплуатация ограничивается аварийным завершением.

Източник: opennet.ru