Уязвимост в ядрото на Linux VFS, която позволява повишаване на привилегиите

В API Filesystem Context, предоставяно от ядрото на Linux, е открита уязвимост (CVE-2022-0185), която позволява на локален потребител да получи root права в системата. Изследователят, който е открил проблема, публикува демонстрация на експлойт, който позволява изпълнение на код с root права в Ubuntu 20.04 с конфигурация по подразбиране. Кодът на експлойта ще бъде публикуван в GitHub в рамките на една седмица след като дистрибуциите издадоха актуализация с корекция на уязвимостта.

Уязвимостта е в функцията legacy_parse_param() на VFS и е причинена от липса на адекватна проверка на максималния размер на параметрите, предоставяни от файловите системи, които не поддържат API Filesystem Context. При предаване на твърде голям параметър може да настъпи преливане на цяло число, използвано за изчисляване на размера на записваните данни — в кода има проверка за излизане извън границите на буфера „if (len > PAGE_SIZE — 2 — size)“, която не сработва, ако стойността на size е над 4094 поради целочислено преливане от долната граница (integer underflow, при приведение на 4096 — 2 — 4095 към unsigned int, получава се 2147483648).

Посочената грешка позволява при обращение към специално оформен образ на файловата система да се предизвика преливане на буфера и да се презапишат данните на ядрото, които следват следделената област в паметта. За експлоатиране на уязвимостта е необходимо наличие на правата CAP_SYS_ADMIN, т.е. пълномощия на администратора. Проблемът е, че подобни пълномощия може да получи непривилегирован потребител в изолиран контейнер, ако в системата е включена поддръжката на идентификаторите на потребителските пространства (user namespaces). Например, user namespaces по подразбиране е включен в Ubuntu и Fedora, но не е активиран в Debian и RHEL (освен ако не се използват платформи за контейнерна изолация).

Проблемът се проявява от ядрото на Linux 5.1 и е отстранен в последните актуализации 5.16.2, 5.15.16, 5.10.93, 5.4.173. Актуализации на пакетите с корекция на уязвимостта вече са издадени за RHEL, Debian, Fedora, Ubuntu. Корекцията все още не е налична в Arch Linux, Gentoo, SUSE и openSUSE. Като обходен вариант за защита на системите, които не използват контейнерна изолация, може да се зададе стойност 0 на sysctl „user.max_user_namespaces“: echo „user.max_user_namespaces=0“ > /etc/sysctl.d/userns.conf # sysctl -p /etc/sysctl.d/userns.conf

Източник: opennet.ru