V j\u00e1dru Linux byla identifikov\u00e1na p\u00e1t\u00e1 kritick\u00e1 zranitelnost za posledn\u00ed dva t\u00fddny, kter\u00e1 umo\u017e\u0148uje u\u017eivateli zv\u00fd\u0161it sv\u00e9 privilegium v syst\u00e9mu. Byly zve\u0159ejn\u011bny dv\u011b funk\u010dn\u00ed exploity: sshkeysign_pwn umo\u017e\u0148uje neprivilegovan\u00e9mu u\u017eivateli p\u0159e\u010d\u00edst obsah soukrom\u00fdch hostitelsk\u00fdch SSH kl\u00ed\u010d\u016f \/etc\/ssh\/ssh_host_*_key, a chage_pwn \u2014 p\u0159e\u010d\u00edst obsah souboru \/etc\/shadow s hashemi hesel u\u017eivatel\u016f. <\/p>\n
Informace o zranitelnosti nebyly pl\u00e1nov\u00e1ny k odhalen\u00ed, ale jeden z v\u00fdzkumn\u00edk\u016f v oblasti bezpe\u010dnosti dok\u00e1zal na z\u00e1klad\u011b navrhovan\u00e9ho pardonu pro j\u00e1dro ur\u010dit podstatu zranitelnosti, kter\u00e1 umo\u017e\u0148uje p\u0159e\u010d\u00edst soubory dostupn\u00e9 pouze u\u017eivateli root, nap\u0159\u00edklad \/etc\/shadow. V p\u0159idan\u00e9 zm\u011bn\u011b do j\u00e1dra byla upravena logika pou\u017eit\u00ed funkce get_dumpable() v ptrace p\u0159i ur\u010den\u00ed \u00farovn\u011b p\u0159\u00edstupu v funkci ptrace_may_access(). <\/p>\n
Samotn\u00e1 zranitelnost je zp\u016fsobena z\u00e1vodem, kter\u00fd vede k mo\u017enosti neopr\u00e1vn\u011bn\u00e9ho p\u0159\u00edstupu k deskriptoru pidfd po p\u0159\u00edstupu k souboru ze suid root procesu. V okam\u017eiku mezi otev\u0159en\u00edm souboru a sn\u00ed\u017een\u00edm opr\u00e1vn\u011bn\u00ed v suid programu (nap\u0159\u00edklad p\u0159es funkci setreuid) vznik\u00e1 situace, kdy aplikace, kter\u00e1 spustila suid root program, m\u016f\u017ee p\u0159es deskriptor pidfd p\u0159istupovat k otev\u0159en\u00e9mu souboru v suid programu, i kdy\u017e to pr\u00e1va p\u0159\u00edstupu na soubor neumo\u017e\u0148uj\u00ed. <\/p>\n
Okno pro exploataci vznik\u00e1 z d\u016fvodu toho, \u017ee funkce \"__ptrace_may_access()\" p\u0159eskakuje kontrolu mo\u017enosti p\u0159\u00edstupu k souboru, pokud je pole task->mm nastaveno na hodnotu NULL po proveden\u00ed exit_mm(), ale p\u0159ed vol\u00e1n\u00edm exit_files(). V sou\u010dasn\u00e9 dob\u011b syst\u00e9mov\u00fd vol\u00e1n\u00ed pidfd_getfd p\u0159edpokl\u00e1d\u00e1, \u017ee identifik\u00e1tor u\u017eivatele (uid) volaj\u00edc\u00edho procesu odpov\u00edd\u00e1 identifik\u00e1toru, kter\u00e9mu je povolen p\u0159\u00edstup k souboru. Zaj\u00edmav\u00e9 je, \u017ee na probl\u00e9m ji\u017e d\u0159\u00edve upozornili v roce 2020, ale z\u016fstal neopraven\u00fd. <\/p>\n
V exploitaci, kter\u00e1 z\u00edsk\u00e1v\u00e1 obsah \/etc\/shadow, \u00fatok spo\u010d\u00edv\u00e1 v cyklick\u00e9m spu\u0161t\u011bn\u00ed p\u0159es fork+execl aplikace \/usr\/bin\/chage s flagem suid root, kter\u00e1 \u010dte obsah \/etc\/shadow. Po od\u0161t\u011bpen\u00ed procesu se prov\u00e1d\u00ed syst\u00e9mov\u00fd hovor pidfd_open a prov\u00e1d\u00ed se cyklick\u00e9 proch\u00e1zen\u00ed dostupn\u00fdch pidfd deskriptor\u016f prost\u0159ednictv\u00edm syst\u00e9mov\u00e9ho vol\u00e1n\u00ed pidfd_getfd a jejich kontrola prost\u0159ednictv\u00edm \/proc\/self\/fd. V exploitaci sshkeysign_pwn se podobn\u00e9 manipulace prov\u00e1d\u011bj\u00ed s suid root programem ssh-keysign. <\/p>\n
CVE identifik\u00e1tor probl\u00e9mu zat\u00edm nebyl p\u0159id\u011blen, aktualizace j\u00e1dra a bal\u00ed\u010dk\u016f v distribuc\u00edch nebyly publikov\u00e1ny. V j\u00e1drech verze 7.0.7, 6.18.30 a 6.12.88, kter\u00e1 byla vyd\u00e1na p\u0159ed n\u011bkolika hodinami, nebyla zranitelnost odstran\u011bna. V dob\u011b psan\u00ed zpr\u00e1vy lze pou\u017e\u00edt pouze z\u00e1platu. Prob\u00edhaj\u00ed diskuse o mo\u017en\u00fdch obch\u00e1zen\u00ed blokov\u00e1n\u00ed zranitelnosti, jako je nastaven\u00ed sysctl kernel.yama.ptrace_scope=3 nebo odstran\u011bn\u00ed suid root flagu z vykonateln\u00fdch soubor\u016f v syst\u00e9mu (minim\u00e1ln\u011b z utilit ssh-keysign a chage, kter\u00e9 se pou\u017e\u00edvaj\u00ed v exploitech).