Уязвимост в подсистемата iSCSI на ядрото на Linux, която позволява ескалация на привилегии

Беше идентифицирана уязвимост (CVE-2021-27365) в кода на подсистемата iSCSI на ядрото на Linux, която позволява на непривилегирован локален потребител да изпълни код на ниво ядро ​​и да получи root привилегии в системата. Работещ прототип на експлойта е достъпен за тестване. Уязвимостта беше адресирана в актуализации на ядрото на Linux 5.11.4, 5.10.21, 5.4.103, 4.19.179, 4.14.224, 4.9.260 и 4.4.260. Актуализациите на пакетите на ядрото са налични в дистрибуции на Debian, Ubuntu, SUSE/openSUSE, Arch Linux и Fedora. Все още не са пуснати корекции за RHEL.

Проблемът е причинен от грешка във функцията iscsi_host_get_param() от модула libiscsi, въведена през 2006 г. по време на разработката на подсистемата iSCSI. Поради липса на правилни проверки на размера, някои iSCSI атрибути на низове, като име на хост или потребителско име, може да надхвърлят стойността PAGE_SIZE (4 KB). Уязвимостта може да бъде използвана от непривилегирован потребител, изпращащ Netlink съобщения, които задават iSCSI атрибути на стойности, по-големи от PAGE_SIZE. Когато тези атрибути се четат чрез sysfs или seqfs, се извиква код, който предава атрибутите на функцията sprintf, за да бъдат копирани в буфер, чийто размер е PAGE_SIZE.

Използването на уязвимостта в дистрибуциите зависи от поддръжката за автоматично зареждане на модула на ядрото scsi_transport_iscsi при опит за създаване на NETLINK_ISCSI сокет. В дистрибуции, където този модул се зарежда автоматично, атаката може да бъде извършена независимо от използването на iSCSI функционалност. В същото време, за успешно използване на експлойта, допълнително се изисква регистрация на поне един iSCSI транспорт. На свой ред, за да регистрирате транспорт, можете да използвате модула на ядрото ib_iser, който се зарежда автоматично, когато непривилегирован потребител се опита да създаде NETLINK_RDMA сокет.

Автоматичното зареждане на модули, необходими за експлойт приложение, се поддържа в CentOS 8, RHEL 8 и Fedora при инсталиране на пакета rdma-core в системата, който е зависимост за някои популярни пакети и се инсталира по подразбиране в конфигурации за работни станции, сървърни системи с Виртуализация на GUI и хост среди. Въпреки това, rdma-core не се инсталира, когато се използва сървърна сборка, която работи само в конзолен режим и когато се инсталира минимално инсталационно изображение. Например, пакетът е включен в базовата дистрибуция на Fedora 31 Workstation, но не е включен във Fedora 31 Server. Debian и Ubuntu са по-малко податливи на проблема, тъй като пакетът rdma-core зарежда модулите на ядрото, необходими за атаката, само ако е наличен RDMA хардуер.

Като заобиколно решение за сигурност можете да деактивирате автоматичното зареждане на модула libiscsi: echo “install libiscsi /bin/true” >> /etc/modprobe.d/disable-libiscsi.conf

Освен това две по-малко опасни уязвимости, които биха могли да доведат до изтичане на данни от ядрото, са коригирани в подсистемата iSCSI: CVE-2021-27363 (изтичане на информация за iSCSI транспортен дескриптор чрез sysfs) и CVE-2021-27364 (буфер извън границите Прочети) . Тези уязвимости могат да се използват за комуникация чрез netlink сокет с подсистемата iSCSI без необходимите привилегии. Например, непривилегирован потребител може да се свърже с iSCSI и да издаде командата „край на сесия“, за да прекрати сесията.

Източник: opennet.ru