Bezpe\u010dnostn\u00ed v\u00fdzkumn\u00edci ze spole\u010dnosti Qualys odhalili podrobnosti o dvou zranitelnostech, kter\u00e9 se t\u00fdkaj\u00ed kernelu Linux a syst\u00e9mov\u00e9ho spr\u00e1vce systemd. Zranitelnost v kernelu (CVE-2021-33909) umo\u017e\u0148uje lok\u00e1ln\u00edmu u\u017eivateli z\u00edskat pr\u00e1va root prost\u0159ednictv\u00edm manipulace s hluboce vno\u0159en\u00fdmi adres\u00e1\u0159i. <\/p>\n
Nebezpe\u010d\u00ed t\u00e9to zranitelnosti je umocn\u011bno t\u00edm, \u017ee v\u00fdzkumn\u00edk\u016fm se poda\u0159ilo p\u0159ipravit funk\u010dn\u00ed exploity, kter\u00e9 pracuj\u00ed na Ubuntu 20.04\/20.10\/21.04, Debianu 11 a Fedo\u0159e 34 v z\u00e1kladn\u00ed konfiguraci. Jinak se uv\u00e1d\u00ed, \u017ee dal\u0161\u00ed distribuce nebyly testov\u00e1ny, ale teoreticky by tak\u00e9 mohly b\u00fdt ohro\u017eeny a mohou b\u00fdt napadeny. Kompletn\u00ed k\u00f3d exploit\u016f slibuj\u00ed zve\u0159ejnit po celkov\u00e9m odstran\u011bn\u00ed probl\u00e9mu, zat\u00edmco je k dispozici pouze omezen\u00e1 funk\u010dn\u00ed verze prototypu, kter\u00e1 zp\u016fsobuje p\u00e1d syst\u00e9mu. Probl\u00e9m se projevuje od \u010dervence 2014 a t\u00fdk\u00e1 se verz\u00ed j\u00e1dra po\u010d\u00ednaje 3.16. Oprava zranitelnosti byla koordinov\u00e1na se komunitou a byla p\u0159ijata do j\u00e1dra 19. \u010dervence. Hlavn\u00ed distribuce ji\u017e vydaly aktualizace bal\u00ed\u010dk\u016f s j\u00e1drem (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Zranitelnost je zp\u016fsobena absenc\u00ed kontroly v\u00fdsledku p\u0159evodu typu size_t na int p\u0159ed prov\u00e1d\u011bn\u00edm operac\u00ed v k\u00f3du seq_file, kter\u00fd vytv\u00e1\u0159\u00ed soubory ze sekvence z\u00e1znam\u016f. Absence kontroly m\u016f\u017ee v\u00e9st k z\u00e1pisu do oblasti za hranicemi bufferu p\u0159i vytv\u00e1\u0159en\u00ed, montov\u00e1n\u00ed a odstra\u0148ov\u00e1n\u00ed struktury adres\u00e1\u0159\u016f s velmi vysokou \u00farovn\u00ed zano\u0159en\u00ed (d\u00e9lka cesty p\u0159es 1 GB). V d\u016fsledku toho m\u016f\u017ee \u00fato\u010dn\u00edk dos\u00e1hnout z\u00e1pisu 10-bajtov\u00e9ho \u0159et\u011bzce \u201e\/\/deleted\u201c s posunem \u201e- 2 GB \u2014 10 byt\u016f\u201c, ukazuj\u00edc\u00ed na oblast bezprost\u0159edn\u011b p\u0159ed alokovan\u00fdm bufferem. <\/p>\n
P\u0159ipraven\u00fd exploit pot\u0159ebuje k provozu 5 GB pam\u011bti a 1 milion voln\u00fdch inode. Funkce exploitu spo\u010d\u00edv\u00e1 ve vytvo\u0159en\u00ed hierarchie z p\u0159ibli\u017en\u011b milionu vno\u0159en\u00fdch adres\u00e1\u0159\u016f prost\u0159ednictv\u00edm vol\u00e1n\u00ed mkdir() tak, aby dos\u00e1hla velikosti cesty souboru v\u011bt\u0161\u00ed ne\u017e 1 GB. Tento adres\u00e1\u0159 je namontov\u00e1n pomoc\u00ed bind-mount v samostatn\u00e9m u\u017eivatelsk\u00e9m jmenov\u00e9m prostoru (user namespace), po \u010dem\u017e n\u00e1sleduje vol\u00e1n\u00ed funkce rmdir() pro jeho odstran\u011bn\u00ed. Sou\u010dasn\u011b je vytv\u00e1\u0159en vl\u00e1kno, kter\u00e9 na\u010d\u00edt\u00e1 mal\u00fd program eBPF, kter\u00fd se blokuje ve st\u00e1diu po kontrole pseudok\u00f3du eBPF, ale p\u0159ed jeho JIT-kompilac\u00ed. <\/p>\n
Ve neprivilegovan\u00e9m prostoru jmen identifik\u00e1tor\u016f u\u017eivatel\u016f se otev\u0159e soubor \/proc\/self\/mountinfo a za\u010dne se \u010d\u00edst dlouh\u00e1 cesta adres\u00e1\u0159e, p\u0159imontovan\u00e9ho pomoc\u00ed bind-mount, co\u017e vede k z\u00e1pisu \u0159et\u011bzce \u201e\/\/deleted\u201c do oblasti p\u0159ed za\u010d\u00e1tkem bufferu. Pozice pro z\u00e1pis \u0159et\u011bzce je zvolena tak, \u017ee p\u0159episuje instrukci v ji\u017e ov\u011b\u0159en\u00e9m, ale je\u0161t\u011b ne zkompilovan\u00e9m programu eBPF. <\/p>\n
D\u00e1le na \u00farovni programu eBPF se nekontrolovan\u00fd z\u00e1pis mimo buffer transformuje na \u0159\u00edzenou mo\u017enost \u010dten\u00ed a z\u00e1pisu do jin\u00fdch struktur j\u00e1dra prost\u0159ednictv\u00edm manipulace se strukturami btf a map_push_elem. V d\u016fsledku toho exploit ur\u010duje um\u00edst\u011bn\u00ed bufferu modprobe_path[] v pam\u011bti j\u00e1dra a p\u0159ep\u00ed\u0161e v n\u011bm cestu \u201e\/sbin\/modprobe\u201c, co\u017e umo\u017e\u0148uje iniciovat spu\u0161t\u011bn\u00ed jak\u00e9hokoliv spustiteln\u00e9ho souboru s pr\u00e1vy root v p\u0159\u00edpad\u011b proveden\u00ed vol\u00e1n\u00ed request_module(), kter\u00e9 se prov\u00e1d\u00ed nap\u0159\u00edklad p\u0159i vytv\u00e1\u0159en\u00ed socketu netlink. <\/p>\n
Badatel\u00e9 uv\u00e1d\u011bj\u00ed n\u011bkolik obran\u00fdch metod, kter\u00e9 jsou \u00fa\u010dinn\u00e9 pouze pro konkr\u00e9tn\u00ed exploit, ale neodstra\u0148uj\u00ed samotn\u00fd probl\u00e9m. Doporu\u010duje se nastavit parametr \u201e\/proc\/sys\/kernel\/unprivileged_userns_clone\u201c na hodnotu 0 pro z\u00e1kaz montov\u00e1n\u00ed adres\u00e1\u0159\u016f v samostatn\u00e9m prostoru jmen identifik\u00e1tor\u016f u\u017eivatel\u016f a tak\u00e9 \u201e\/proc\/sys\/kernel\/unprivileged_bpf_disabled\u201c na 1 pro z\u00e1kaz na\u010d\u00edt\u00e1n\u00ed program\u016f eBPF do j\u00e1dra.