Уязвимости в подсистемата eBPF на ядрото Linux

В поддържащата система eBPF, която позволява стартиране на обработчици за проследяване, анализ на работата на подсистеми и управление на трафика, изпълнявани в ядрото на Linux в специална виртуална машина с JIT, е открито уязвимост (CVE-2021-29154), което позволява на локален потребител да изпълни свой код на ниво ядро. Проблемът се проявява до версия 5.11.12 (включително) и все още не е отстранен в дистрибутиви (Debian, Ubuntu, RHEL, Fedora, SUSE, Arch). Поправка е налична под формата на пач.

Според изследователите, открили уязвимостта, те са успели да разработят работещ прототип на експлоит за 32- и 64-битови системи x86, който може да бъде използван от непривилегирован потребител. В същото време компанията Red Hat отбелязва, че опасността от проблема зависи от наличността на системния вик eBPF за потребителя. Например, в RHEL и повечето други дистрибутиви на Linux в стандартната конфигурация уязвимостта може да бъде експлоатирана при активиран BPF JIT и при наличие на права CAP_SYS_ADMIN за потребителя. Като мярка за безопасност се препоръчва деактивирането на BPF JIT с командата: echo 0 > /proc/sys/net/core/bpf_jit_enable

Проблемът е причинен от грешка в изчисляването на отместване за команди за разклонение при генериране на машинен код от JIT компилатора. В частност, при генериране на инструкции за разклонение не се отчита, че отместването може да се промени след преминаване през стадия на оптимизация. Описаната несъвършенство може да се използва за формиране на аномален машинен код и неговото изпълнение на ниво ядро.

Интересното е, че това не е единствената уязвимост в подсистемата eBPF напоследък. В края на март в ядрото бяха открити още две уязвимости (CVE-2020-27170, CVE-2020-27171), позволяващи използването на eBPF за заобикаляне на защита от уязвимости от клас Spectre, което позволява идентифицирането на съдържанието на ядрото в резултат на създаване на условия за спекулативно изпълнение на определени операции. За атака Spectre е необходима наличност в привилегирован код на определена последователност от команди, водещи до спекулативно изпълнение на инструкции. В eBPF са намерени няколко начина за генериране на подобни инструкции чрез манипулации с предавани за изпълнение BPF програми.

Уязвимостта CVE-2020-27170 е причинена от манипулации с указатели в BPF верификатора, които предизвикват спекулативни операции, достъпващи извън границите на буфера. Уязвимостта CVE-2020-27171 е свързана с грешка в целочислената аритметика (integer underflow) при работа с указатели, водеща до спекулативен достъп до данни извън буфера. Тези проблеми вече са отстранени в версии на ядрото 5.11.8, 5.10.25, 5.4.107, 4.19.182 и 4.14.227, и също така са включени в актуализациите на ядрото на повечето дистрибуции на Linux. Изследователите са подготвили прототип на експлоит, позволяващ на непривилегирован потребител да извлече данни от паметта на ядрото.

Източник: opennet.ru