Der XFS-filsystemkode har en sårbarhed (CVE-2021-4155), der gør det muligt for en lokal, ikke-privilegeret bruger at læse data fra ubrugte blokke direkte fra blok-enheden. Alle væsentlige versioner af Linux-kernen, der er ældre end 5.16 og indeholder XFS-driveren, er udsat for dette problem. Rettelsen blev inkluderet i version 5.16 samt opdateringer til kernen 5.15.14, 5.10.91, 5.4.171, 4.19.225 osv. Status for opdateringer, der løser problemet i distributionerne, kan spores på følgende sider: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch.
Sårbarheden skyldes forkert adfærd fra to specifikke XFS ioctl(XFS_IOC_ALLOCSP) og ioctl(XFS_IOC_FREESP), som er funktionelt ækvivalente til det generelle systemkald fallocate(). Når filens størrelse øges, uden at den er justeret til blokstørrelsen, nulstiller ioctl XFS_IOC_ALLOCSP/XFS_IOC_FREESP ikke de resterende byte til den næste blokgrænse. På XFS med en standard blokstørrelse på 4096 byte kan en angriber læse op til 4095 byte af tidligere skrevne data fra hver blok. De angivne områder kan indeholde data fra slettede filer, defragmenterede filer samt filer med deduperede blokke.
Du kan kontrollere dit system for problemet med en simpel prototype-af exploit. Hvis du efter at have udført den foreslåede kommando-sekvens kan læse en tekst af Shakespeare, så er filsystemdriveren sårbar. Den oprindelige montering af XFS-partitionen til demonstration kræver superbrugerrettigheder.
Da ioctl(XFS_IOC_ALLOCSP) og ioctl(XFS_IOC_FREESP) funktionelt næsten ikke adskiller sig fra standard fallocate(), og den eneste forskel er datalækagen, fremstår deres tilstedeværelse som en backdoor. På trods af den generelle politik om ikke at ændre eksisterende grænseflader i kernen blev det på Linus' forslag besluttet helt at fjerne disse ioctl'er i den næste version.
Kilde: opennet.ru
