Уязвимост в подсистемата iSCSI на ядрото на Linux, позволяваща повишаване на правата.

В кода на подсистемата iSCSI в ядрото на Linux беше установена уязвимост (CVE-2021-27365), която позволява на непривилегирован локален потребител да изпълнява код на ниво ядро и да получи root-привилегии в системата. За тестване е на разположение работещ прототип на експлойт. Уязвимостта е отстранена в обновленията на ядрото на Linux 5.11.4, 5.10.21, 5.4.103, 4.19.179, 4.14.224, 4.9.260 и 4.4.260. Актуализациите на пакетите с ядрото са налични в дистрибутивите Debian, Ubuntu, SUSE/openSUSE, Arch Linux и Fedora. За RHEL поправки все още не са издадени.

Проблемът е причинен от грешка в функцията iscsi_host_get_param() от модула libiscsi, добавена още през 2006 година по време на разработката на подсистемата iSCSI. Поради липсата на подходящи проверки на размера, някои стринг атрибути на iSCSI, като hostname или username, могат да надхвърлят стойността PAGE_SIZE (4 KB). Уязвимостта може да бъде експлоатирана чрез изпращане на Netlink-съобщения от непривилегирован потребител, задаващи атрибутите на iSCSI на стойности, надвишаващи PAGE_SIZE. При четене на данните от атрибутите чрез sysfs или seqfs се извиква код, който предава атрибутите на функция sprintf за копиране в буфер с размер PAGE_SIZE.

Експлоатирането на уязвимостта в дистрибутивите зависи от поддръжката на автоматичното зареждане на модула на ядрото scsi_transport_iscsi при опит за създаване на сокет NETLINK_ISCSI. В дистрибутивите, в които този модул се зарежда автоматично, атаката може да бъде извършена независимо от използването на функционалността iSCSI. При това, за успешното прилагане на експлойта, допълнително е необходимо регистрирането на поне един iSCSI транспорт. От своя страна, за регистрацията на транспортира може да се използва модулът на ядрото ib_iser, който се зарежда автоматично при опит за създаване на сокет NETLINK_RDMA от непривилегирован потребител.

Автоматично зареждане на необходимите модули за експлоатация се поддържа в CentOS 8, RHEL 8 и Fedora при инсталиране на пакета rdma-core, който е зависимост за някои популярни пакети и по подразбиране се инсталира в конфигурации за работни станции, сървърни системи с GUI и хостинг среди за виртуализация. В същото време, rdma-core не се инсталира при използване на сървърна версия, работеща само в конзолен режим, и при инсталиране на минимален инсталационен образ. Например, пакетът е включен в основната версия на Fedora 31 Workstation, но не е включен в Fedora 31 Server. Debian и Ubuntu са по-малко податливи на проблема, тъй като пакетът rdma-core зарежда необходимите модули на ядрото за атака само при наличие на RDMA хардуер.

Като заобиколно решение за защита, можете да забраните автоматичното зареждане на модула libiscsi: echo "install libiscsi /bin/true" >> /etc/modprobe.d/disable-libiscsi.conf

Допълнително в подсистемата iSCSI са отстранени още две по-малко опасни уязвимости, които могат да доведат до изтичане на данни от ядрото: CVE-2021-27363 (изтичане на информация за дескриптора на транспорта iSCSI чрез sysfs) и CVE-2021-27364 (четене от област извън границите на буфера). Указаните уязвимости могат да бъдат използвани за взаимодействие чрез netlink сокет с подсистемата iSCSI без необходимите привилегии. Например, непривилегирован потребител може да се свърже с iSCSI и да изпрати команда "end a session" за прекратяване на сесия.

Източник: opennet.ru