Уязвимости в ядрото Linux, които позволяват повишаване на привилегиите чрез nf_tables и ksmbd

В Netfilter, подсистеме на ядре Linux, отговорной за фильтрацию и модификацию сетевых пакетов, была выявлена уязвимость (CVE-2024-1086), позволяющая локальному пользователю выполнять код на уровне ядра и повышать свои привилегии в системе. Проблема возникла из-за двойного освобождения памяти (double-free) в модуле nf_tables, который обеспечивает работу пакетного фильтра nftables. Исследователь безопасности, обнаруживший уязвимость, разработал и опубликовал рабочий прототип эксплоита.

Работа эксплоита была продемонстрирована в актуальных версиях Debian и Ubuntu с ядрами Linux 5.14 — 6.6, а также в окружении с ядром KernelCTF (Capture the Flag), которое включает дополнительные патчи для блокировки типовых методов эксплуатации и используется компанией Google в программе вознаграждений за нахождение уязвимостей. Степень успешности работы эксплоита оценивается в 99.4%. В сопроводительной статье подробно описан процесс создания сложного многоуровневого эксплоита и обход механизмов защиты в ядре.

Проблема связана с ошибкой в функции nft_verdict_init(), которая допускает использование положительных значений в качестве кода ошибки отброса пакетов (DROP) в хуках, что может быть использовано для вызова в функции nf_hook_slow() повторного освобождения памяти для буфера, освобождение которого уже произошло. Проблема возникает, когда операция NF_DROP формируется с ошибкой, и ядро сначала интерпретирует NF_DROP, но затем освобождает буфер и возвращает статус NF_ACCEPT. Это приводит к тому, что, несмотря на освобождение связанного с пакетом буфера, его обработка не останавливается, а передаётся в другой обработчик, который снова вызывает функцию освобождения памяти.

Уязвимость проявляется начиная с версии ядра Linux 3.15, но эксплоит работает с ядрами с версии 5.14. Исправление уязвимости предложено в выпуске ядра Linux 6.8-rc1 и в конце февраля было перенесено в стабильные ветки 5.15.149, 6.1.76 и 6.6.15. В дистрибутивах можно отследить исправление уязвимости на страницах: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

Дополнительно стоит отметить серию уязвимостей в модуле ksmbd, который предоставляет встроенную в ядро Linux реализацию файлового. сървър на базата на протокола SMB: Уязвимостта CVE-2024-26592 позволява дистанционно, без аутентификация, да се изпълни собствен код с права на ядрото на системите с активиран модул ksmbd. Проблемът е предизвикан от състояние на гонка в кода за обработка на TCP свързване, което възниква поради липсата на правилно поставяне на блокировки при работа с обект.

Уязвимостта CVE-2023-52440 също позволява дистанционно да се изпълни собствен код с права на ядрото, но е предизвикана от препълване на буфера при обработка на неправилни сесийни ключове заради липсата на правилна проверка на размера на данните, получени от потребителя, преди копирането им в буфер с фиксиран размер.

Уязвимостите (1, 2, 3) CVE-2024-26594, CVE-2023-52442 и CVE-2023-52441 в ksmbd дават възможност дистанционно, без аутентификация, да се определи съдържанието на ядрото на паметта. Уязвимостта CVE-2024-26594 е предизвикана от неправилна проверка на данните при обработката на получените токени SMB2 Mech, което води до връщане на данни извън границите на буфера. Уязвимостта CVE-2023-52442 е предизвикана от липсата на правилна проверка на входящите данни при обработка на свързани верижни (chained) заявки. Уязвимостта CVE-2023-52441 е предизвикана от липсата на необходимата проверка на входящите данни при обработка на заявки за установяване на свързване SMB2.

Уязвимостите CVE-2024-26594 и CVE-2024-26592 са отстранени в ядрото 6.8 и корективните обновления на предишните стабилни версии 6.1.75, 6.6.14, 6.7.2. Останалите уязвимости са отстранени в ядрото 6.5 и обновленията 5.15.145, 6.1.53, 6.4.16.

В заключение, ще споменем активирането на новия екип от разработчици на ядрото на Linux, създаден за анализ на наличие на уязвимости и оценка на взаимовръзката между поправките в ядрото и проблемите с безопасността. През февруари разработчиците на ядрото създадоха собствена служба CNA (CVE Numbering Authority), която получи правомощия за самостоятелно присвояване на CVE идентификатори на уязвимости. До този момент присвояването на CVE и анализът на взаимовръзката между поправките и възможните уязвимости бе в ръцете на разработчиците на дистрибуции, а в ядрото потенциалните уязвимости не бяха отделени и фигурираха наред с обикновените поправки. Резултатите от работата на новата служба надхвърлиха очакванията — ежедневно в ядрото се отбелязват до няколко десетки нови уязвимости, които преди това не бяха маркирани като проблеми с безопасността. Например, на 26 март нови CVE идентификатори бяха присвоени на 14 уязвимости, които преди това не се разглеждаха като проблеми с безопасността, а на 25 март — 41 уязвимости.

Източник: opennet.ru