Уязвимост в подсистемата eBPF, която позволява изпълнение на код на ниво ядро ​​на Linux

Беше идентифицирана уязвимост (CVE-2021-4204) в подсистемата eBPF, която позволява стартиране на манипулатори вътре в ядрото на Linux в специална виртуална машина с JIT, което позволява на локален непривилегирован потребител да постигне ескалация на привилегии и изпълнение на своя код на ниво на ядрото на Linux. Проблемът се проявява от ядрото на Linux 5.8 и остава нерешен (включително версия 5.16). Състоянието на генерирането на актуализации с отстраняването на проблема в дистрибуциите може да се проследи на тези страници: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. Обявява се създаването на работещ експлойт, който се планира да бъде публикуван на 18 януари (на потребителите и разработчиците е дадена седмица, за да коригират уязвимостта).

Уязвимостта е причинена от неправилна проверка на eBPF програми, изпратени за изпълнение. Подсистемата eBPF осигурява спомагателни функции, чиято коректност се проверява от специален верификатор. Някои функции изискват стойността на PTR_TO_MEM да бъде предадена като аргумент и за да предотврати възможно препълване на буфера, проверяващият трябва да знае размера на паметта, свързана с аргумента. За функциите bpf_ringbuf_submit и bpf_ringbuf_discard данните за размера на прехвърлената памет не са докладвани на верификатора, което може да се използва за презаписване на области на паметта извън границата на буфера при изпълнение на специално създаден eBPF код.

За да извърши атака, потребителят трябва да може да зареди своята BPF програма и много скорошни дистрибуции на Linux блокират това по подразбиране (включително непривилегированият достъп до eBPF вече е забранен по подразбиране в самото ядро, като се започне от версия 5.16). Например, уязвимостта може да бъде използвана в конфигурацията по подразбиране на Ubuntu 20.04 LTS, но в средите Ubuntu 22.04-dev, Debian 11, openSUSE 15.3, RHEL 8.5, SUSE 15-SP4 и Fedora 33 се появява само ако администраторът е задал параметърът kernel.unprivileged_bpf_disabled на 0. Като заобиколно решение за блокиране на уязвимостта, можете да деактивирате изпълнението на BPF програми от непривилегировани потребители с командата "sysctl -w kernel.unprivileged_bpf_disabled=1".

Източник: opennet.ru