লিনাক্স কার্নেলে রুট দুর্বলতা এবং systemd-এ পরিষেবা অস্বীকার করা

কোয়ালিসের নিরাপত্তা গবেষকরা লিনাক্স কার্নেল এবং সিস্টেমড সিস্টেম ম্যানেজারকে প্রভাবিত করে এমন দুটি দুর্বলতার বিবরণ প্রকাশ করেছেন। কার্নেলের একটি দুর্বলতা (CVE-2021-33909) একটি স্থানীয় ব্যবহারকারীকে অত্যন্ত নেস্টেড ডিরেক্টরিগুলির ম্যানিপুলেশনের মাধ্যমে রুট অধিকার সহ কোড এক্সিকিউশন অর্জন করতে দেয়।

দুর্বলতার বিপদ আরও বেড়ে যায় যে গবেষকরা ডিফল্ট কনফিগারেশনে উবুন্টু 20.04/20.10/21.04, ডেবিয়ান 11 এবং ফেডোরা 34-এ কাজ করে এমন কাজের শোষণ প্রস্তুত করতে সক্ষম হয়েছেন। এটি উল্লেখ্য যে অন্যান্য বিতরণগুলি পরীক্ষা করা হয়নি, তবে তাত্ত্বিকভাবেও সমস্যাটির জন্য সংবেদনশীল এবং আক্রমণ করা যেতে পারে। সর্বত্র সমস্যা দূর হওয়ার পরে শোষণের সম্পূর্ণ কোড প্রকাশ করার প্রতিশ্রুতি দেওয়া হয়েছে, কিন্তু আপাতত শুধুমাত্র সীমিত কার্যকারিতার একটি প্রোটোটাইপ উপলব্ধ, যার ফলে সিস্টেমটি ক্র্যাশ হয়ে যায়। সমস্যাটি জুলাই 2014 থেকে উপস্থিত রয়েছে এবং 3.16 থেকে কার্নেল রিলিজকে প্রভাবিত করে। দুর্বলতার সমাধান সম্প্রদায়ের সাথে সমন্বয় করা হয়েছিল এবং 19 জুলাই কার্নেলে গৃহীত হয়েছিল। প্রধান ডিস্ট্রিবিউশনগুলি ইতিমধ্যেই তাদের কার্নেল প্যাকেজগুলির আপডেট তৈরি করেছে (ডেবিয়ান, উবুন্টু, ফেডোরা, আরএইচইএল, সুস, আর্চ)।

seq_file কোডে ক্রিয়াকলাপ সম্পাদন করার আগে একটি size_t থেকে int রূপান্তরের ফলাফল পরীক্ষা করতে ব্যর্থতার কারণে দুর্বলতা সৃষ্টি হয়, যা রেকর্ডের ক্রম থেকে ফাইল তৈরি করে। চেক করতে ব্যর্থ হলে একটি খুব নেস্টেড ডিরেক্টরি কাঠামো (পাথের আকার 1 গিগাবাইটের বেশি) তৈরি, মাউন্ট করা এবং মুছে ফেলার সময় বাফারে সীমার বাইরে লেখা হতে পারে। ফলস্বরূপ, একজন আক্রমণকারী একটি 10-বাইট স্ট্রিং "//মুছে ফেলা" অর্জন করতে পারে "-2 GB - 10 বাইট" এর অফসেটে লিখিত বরাদ্দকৃত বাফারের ঠিক পূর্ববর্তী এলাকা নির্দেশ করে।

প্রস্তুত শোষণের জন্য 5 জিবি মেমরি এবং 1 মিলিয়ন ফ্রি ইনোডের প্রয়োজন। শোষণটি mkdir() কে কল করে প্রায় এক মিলিয়ন সাবডিরেক্টরি তৈরি করে একটি ফাইল পাথের আকার 1 গিগাবাইট অতিক্রম করে। এই ডিরেক্টরিটি একটি পৃথক ব্যবহারকারীর নামস্থানে bind-mount-এর মাধ্যমে মাউন্ট করা হয়, তারপরে rmdir() ফাংশনটি সরানোর জন্য চালানো হয়। সমান্তরালভাবে, একটি থ্রেড তৈরি করা হয় যা একটি ছোট ইবিপিএফ প্রোগ্রাম লোড করে, যা ইবিপিএফ সিউডোকোড চেক করার পর পর্যায়ে ব্লক করা হয়, তবে এটির জেআইটি সংকলনের আগে।

সুবিধাবিহীন userid নামস্থানে, /proc/self/mountinfo ফাইলটি খোলা হয় এবং বাইন্ড-মাউন্টেড ডিরেক্টরির দীর্ঘ পথনাম পড়া হয়, যার ফলে বাফার শুরুর আগে এলাকায় "// মুছে ফেলা" স্ট্রিং লেখা হয়। লাইনটি লেখার জন্য অবস্থানটি বেছে নেওয়া হয়েছে যাতে এটি ইতিমধ্যে পরীক্ষিত কিন্তু এখনও সংকলিত ইবিপিএফ প্রোগ্রামে নির্দেশনাকে ওভাররাইট করে।

এর পরে, eBPF প্রোগ্রাম স্তরে, অনিয়ন্ত্রিত আউট-অফ-বাফার লেখাটি btf এবং map_push_elem কাঠামোর ম্যানিপুলেশনের মাধ্যমে অন্যান্য কার্নেল কাঠামোতে পড়তে এবং লেখার নিয়ন্ত্রিত ক্ষমতাতে রূপান্তরিত হয়। ফলস্বরূপ, শোষণ কার্নেল মেমরিতে modprobe_path[] বাফারের অবস্থান নির্ধারণ করে এবং এতে "/sbin/modprobe" পাথটি ওভাররাইট করে, যা আপনাকে রুট অধিকার সহ যেকোন এক্সিকিউটেবল ফাইল চালু করতে দেয় request_module() কল, যা কার্যকর করা হয়, উদাহরণস্বরূপ, নেটলিংক সকেট তৈরি করার সময়।

গবেষকরা বেশ কয়েকটি সমাধান প্রদান করে যা শুধুমাত্র একটি নির্দিষ্ট শোষণের জন্য কার্যকর, কিন্তু সমস্যাটি নিজেই দূর করে না। একটি পৃথক ইউজার আইডি নেমস্পেসে মাউন্টিং ডিরেক্টরি নিষ্ক্রিয় করতে "/proc/sys/kernel/unprivileged_userns_clone" 0 তে সেট করার এবং কার্নেলে eBPF প্রোগ্রামগুলি লোড করা অক্ষম করার জন্য "/proc/sys/kernel/unprivileged_bpf_disabled" 1 তে সেট করার সুপারিশ করা হয়।

এটি লক্ষণীয় যে একটি বৃহৎ ডিরেক্টরি মাউন্ট করার জন্য বাইন্ড-মাউন্ডের পরিবর্তে FUSE মেকানিজম ব্যবহার জড়িত একটি বিকল্প আক্রমণ বিশ্লেষণ করার সময়, গবেষকরা সিস্টেমড সিস্টেম ম্যানেজারকে প্রভাবিত করে আরেকটি দুর্বলতা (CVE-2021-33910) দেখতে পান। দেখা গেল যে FUSE-এর মাধ্যমে 8 MB-এর বেশি পাথের আকার সহ একটি ডিরেক্টরি মাউন্ট করার চেষ্টা করার সময়, কন্ট্রোল ইনিশিয়ালাইজেশন প্রক্রিয়া (PID1) স্ট্যাক মেমরির বাইরে চলে যায় এবং ক্র্যাশ হয়ে যায়, যা সিস্টেমটিকে "আতঙ্ক" অবস্থায় রাখে।

সমস্যা হল যে systemd /proc/self/mountinfo-এর বিষয়বস্তু ট্র্যাক করে এবং পার্স করে, এবং unit_name_path_escape() ফাংশনে প্রতিটি মাউন্ট পয়েন্ট প্রসেস করে, যা একটি strdupa() অপারেশন করে যা গতিশীলভাবে বরাদ্দ করা মেমরির পরিবর্তে স্ট্যাকের উপর ডেটা রাখে। . যেহেতু সর্বাধিক স্ট্যাকের আকার RLIMIT_STACK এর মাধ্যমে সীমিত, মাউন্ট পয়েন্টে খুব বড় পথ প্রক্রিয়াকরণের ফলে PID1 প্রক্রিয়াটি ক্র্যাশ হয়ে যায় এবং সিস্টেমটি বন্ধ হয়ে যায়। একটি আক্রমণের জন্য, আপনি একটি মাউন্ট পয়েন্ট হিসাবে একটি উচ্চ নেস্টেড ডিরেক্টরি ব্যবহার করার সাথে সমন্বয়ে সবচেয়ে সহজ FUSE মডিউল ব্যবহার করতে পারেন, যার পথের আকার 8 MB ছাড়িয়ে যায়।

সিস্টেমড 220 (এপ্রিল 2015) থেকে সমস্যাটি দেখা যাচ্ছে, ইতিমধ্যেই মূল সিস্টেমড রিপোজিটরিতে স্থির করা হয়েছে এবং ডিস্ট্রিবিউশনে (ডেবিয়ান, উবুন্টু, ফেডোরা, আরএইচইএল, SUSE, আর্চ) ঠিক করা হয়েছে। উল্লেখযোগ্যভাবে, systemd রিলিজ 248-এ সিস্টেমড কোডে একটি বাগ থাকার কারণে শোষণ কাজ করে না যার ফলে /proc/self/mountinfo-এর প্রক্রিয়াকরণ ব্যর্থ হয়। এটিও আকর্ষণীয় যে 2018 সালে, একই রকম পরিস্থিতির উদ্ভব হয়েছিল এবং যখন লিনাক্স কার্নেলে CVE-2018-14634 দুর্বলতার জন্য একটি শোষণ লেখার চেষ্টা করেছিল, কোয়ালিস গবেষকরা systemd-এ তিনটি গুরুতর দুর্বলতার সম্মুখীন হন।

উত্স: opennet.ru