Състояние на състезание в събирача на отпадъци на ядрото на Linux, което може да доведе до ескалация на привилегии

Jann Horn от екипа на Google Project Zero, който веднъж идентифицира уязвимостите Spectre и Meltdown, публикува техника за използване на уязвимост (CVE-2021-4083) в събирача на отпадъци на ядрото на Linux. Уязвимостта се дължи на състояние на състезание при почистване на файлови дескриптори на unix сокети и потенциално позволява на локален непривилегирован потребител да изпълни своя код на ниво ядро.

Проблемът е интересен, тъй като времевият прозорец, през който възниква състоянието на състезание, се оценява като твърде малък, за да се създадат истински експлойти, но авторът на изследването показа, че дори такива първоначално скептични уязвимости могат да станат източник на реални атаки, ако създателят на експлойта има необходимите умения и време. Ян Хорн показа как с помощта на филигранни манипулации можете да намалите състоянието на състезание, което възниква при едновременно извикване на функциите close() и fget() в напълно използваема уязвимост за използване след освобождаване и да постигнете достъп до вече освободени данни структура вътре в ядрото.

Състояние на състезание възниква по време на процеса на затваряне на файлов дескриптор, докато се извикват close() и fget() едновременно. Извикването на close() може да се появи преди fget() да бъде изпълнено, което ще обърка събирача на отпадъци, тъй като според refcount файловата структура няма да има външни препратки, но ще остане прикрепена към файловия дескриптор, т.е. Събирачът на отпадъци ще мисли, че има ексклузивен достъп до структурата, но всъщност за кратък период от време оставащият запис в таблицата с файлови дескриптори все още ще сочи към структурата, която се освобождава.

За да се увеличи вероятността от навлизане в състояние на състезание, бяха използвани няколко трика, които направиха възможно увеличаването на вероятността за успех на експлоатацията до 30% при въвеждане на специфични за системата оптимизации. Например, за да се увеличи времето за достъп до структура с файлови дескриптори с няколкостотин наносекунди, данните бяха изгонени от кеша на процесора чрез затрупване на кеша с активност на друго ядро ​​на процесора, което направи възможно извличането на структурата от паметта, а не от бързият кеш на процесора.

Втората важна характеристика беше използването на прекъсвания, генерирани от хардуерен таймер, за да се увеличи времето за състояние на състезание. Моментът беше избран така, че манипулаторът на прекъсванията да се задейства, когато възникне състояние на състезание и да прекъсне изпълнението на кода за известно време. За допълнително забавяне на връщането на контрола, около 50 хиляди записа в опашката за изчакване бяха генерирани с помощта на epoll, което изискваше търсене през манипулатора на прекъсвания.

Техниката за използване на уязвимостта беше разкрита след 90-дневен период на неразкриване. Проблемът се появява от ядрото 2.6.32 и е коригиран в началото на декември. Корекцията беше включена в ядрото 5.16 и също беше прехвърлено към LTS клоновете на ядрото и пакетите на ядрото, доставяни в дистрибуциите. Трябва да се отбележи, че уязвимостта е идентифицирана по време на анализа на подобен проблем CVE-2021-0920, който се проявява в събирача на отпадъци при обработка на флага MSG_PEEK.

Източник: opennet.ru