PinTheft — шеста уязвимост от клас Copy Fail, предоставяща права root в Linux

Разкрита информация за шестата уязвимост (1, 2-3, 4, 5), позволяваща на непривилегирован локален потребител да получи root права, презаписвайки данни в страничния кеш. Уязвимостта е получила кодово име PinTheft. Прототип на експлоит е наличен. CVE идентификаторът все още не е присвоен. Решение е налично само под формата на пач, публикуван на 5 май и одобрен на 11 май в клона netdev, но не е включен в корективните версии на ядрото.

Уязвимостта е налице в реализирането на мрежовия протокол RDS (Reliable Datagram Sockets), предназначен за високо-скоростен обмен на съобщения между възли в клъстера, с минимална латентност и гарантирана доставка. Атаката е възможна на системи с включена подсистема io_uring (io_uring_disabled=0) и ядро, компилирано с опции CONFIG_RDS, CONFIG_RDS_TCP и CONFIG_IO_URING. За да работи експлоитът, в системата трябва да има наличен за четене изпълним файл с флаг SUID-root.

За автоматично зареждане на модула ядро rds_tcp експлоитът изисква изпращане на данни чрез RDS с използване на транспорта SO_RDS_TRANSPORT=2. Отбелязва се, че сред тестваните дистрибутиви на Linux в конфигурация по подразбиране модулът ядро rds е наличен само в Arch Linux. За да се блокира уязвимостта, може да се възпрепятства автоматичното зареждане на модулите ядро rds и rds_tcp: rmmod rds_tcp rds printf ‘install rds /bin/false install rds_tcp /bin/false ’ > /etc/modprobe.d/pintheft.conf

Уязвимостта е причинена от грешка в реализирането на механизма zerocopy в функцията rds_message_zcopy_from_user(), извършваща директна промяна на данните в страничния кеш, за да се избегне ненужно буфериране. При повреда не е извършена очистка на полето rm->data.op_nents, поради което е извършено двойно освобождаване на буфера (double-free). Появата на некоректна стойност в брояча на референции е могла да бъде експлоатирана за презаписване на данни в страничния кеш, благодарение на манипулацията с указателя на фиксирания буфер io_uring.

В останалите отношения механизмът на експлоатация е типичен за всички уязвимости от този клас — атакуващият успява да задържи файл на програмата с флаг suid root в страничния кеш, след което въвежда код за стартиране в ELF заглавието на файл /usr/bin/sh. След тази манипулация стартирането на програмата води до зареждане в паметта не на оригиналния изпълним файл от носителя, а на променената копия от страничния кеш. В отличие от предишните експлоити, новият вариант е адаптиран само за атака на утилита „su“, но може да се използва и при наличие в системата на такива суид програми като mount, passwd, chsh, newgrp, umount и pkexec.

Източник: opennet.ru