Уязвимост в подсистемата iSCSI на ядрото на Linux, позволяваща повишаване на привилегиите

В кода на подсистемата iSCSI в ядрото на Linux е открита уязвимост (CVE-2021-27365), която позволява на непривилегирован локален потребител да изпълни код на ниво ядро и да получи root-привилегии в системата. Работен прототип на експлоита е наличен за тестване. Уязвимостта е отстранена в обновленията на ядрото на Linux 5.11.4, 5.10.21, 5.4.103, 4.19.179, 4.14.224, 4.9.260 и 4.4.260. Обновленията с ядрото са налични в дистрибутивите Debian, Ubuntu, SUSE/openSUSE, Arch Linux и Fedora. За RHEL поправки все още не са издадени.

Проблемата е причинена от грешка в функцията iscsi_host_get_param() в модула libiscsi, въведена още през 2006 година по време на разработката на подсистемата iSCSI. Поради липсата на адекватни проверки на размера, някои стрингови атрибути на iSCSI, като hostname или username, могат да надвишават стойността PAGE_SIZE (4 КБ). Уязвимостта може да бъде експлоатирана чрез изпращане на Netlink-съобщения от непривилегирован потребител, които установяват атрибутите на iSCSI на стойности, надвишаващи PAGE_SIZE. При четене на данни от тези атрибути през sysfs или seqfs се извиква код, който предава атрибутите на функцията sprintf за копиране в буфер, чийто размер е PAGE_SIZE.

Експлоатацията на уязвимостта в дистрибутивите зависи от поддръжката на автоматичното зареждане на модула на ядрото scsi_transport_iscsi при опит за създаване на сокет NETLINK_ISCSI. В дистрибутивите, където този модул се зарежда автоматично, атаката може да бъде извършена независимо от използването на функционалността на iSCSI. За успешното приложение на експлоита е необходимо допълнително регистриране на поне един транспорт на iSCSI. За регистрацията на транспорта може да se използва ядреният модул ib_iser, който се зарежда автоматично при опит на непривилегирован потребител да създаде сокет NETLINK_RDMA.

Автоматичното зареждане на необходимите за приложението модули на експлойта се поддържа в CentOS 8, RHEL 8 и Fedora при инсталиране на пакета rdma-core, който е зависимост за някои популярни пакети и по подразбиране се инсталира в конфигурации за работни станции, сървърни системи с GUI и хост-окружения за виртуализация. Въпреки това, rdma-core не се инсталира при използване на сървърна версия, работеща само в конзолен режим, и при инсталиране на минимален инсталационен образ. Например, пакетът влиза в основната доставка на Fedora 31 Workstation, но не е включен в Fedora 31 Server. Debian и Ubuntu са по-малко податливи на проблема, тъй като пакетът rdma-core зарежда необходимите за атака модули на ядрото само при наличие на RDMA хардуер.

Като обходен вариант за защита, може да се забрани автоматичното зареждане на модула libiscsi: echo "install libiscsi /bin/true" >> /etc/modprobe.d/disable-libiscsi.conf

Допълнително, в подсистемата iSCSI са отстранени още две по-малко опасни уязвимости, които могат да доведат до изтичане на данни от ядрото: CVE-2021-27363 (изтичане на информация за дескриптора на транспорта iSCSI чрез sysfs) и CVE-2021-27364 (четене от област извън границите на буфера). Посочените уязвимости могат да се използват за взаимодействие чрез netlink сокет с подсистемата iSCSI без наличие на необходимите привилегии. Например, непривилегирован потребител може да се свърже с iSCSI и да изпрати команда "end a session" за прекратяване на сесия.

Източник: opennet.ru