{"id":100548,"date":"2021-06-20T10:22:54","date_gmt":"2021-06-20T08:22:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm"},"modified":"2021-06-20T10:22:54","modified_gmt":"2021-06-20T08:22:55","slug":"uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","title":{"rendered":"S\u00e5rbarhed i Linux-kernen, der p\u00e5virker netv\u00e6rksprotokollen CAN BCM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Der er fundet en s\u00e5rbarhed i Linux-kernen (CVE-2021-3609), der tillader en lokal bruger at h\u00e6ve sine privilegier i systemet. Problemet skyldes en race condition i implementeringen af CAN BCM-protokollen og manifesterer sig i Linux-kernens versioner fra 2.6.25 til 5.13-rc6. Problemet er endnu ikke blevet rettet i distributionerne (RHEL, Fedora, Debian, Ubuntu, SUSE, Arch). <\/p>\n
Den forsker, der opdagede s\u00e5rbarheden, har v\u00e6ret i stand til at forberede et exploit til at opn\u00e5 root-rettigheder p\u00e5 systemer med Linux-kernene 5.4 og nyere, inklusive en vellykket angrebsdemonstration i Ubuntu 20.04.02 LTS. Der er ikke udelukket, at exploit'en kan tilpasses til at fungere med \u00e6ldre kerner (i kernen 5.4 blev CAN BCM-koden (net\/can\/bcm.c) overf\u00f8rt fra hrtimer_tasklet til HRTIMER_MODE_SOFT). <\/p>\n
CAN BCM-protokollen g\u00f8r det muligt at registrere en egen beskedbehandler for beskeder, der modtages via CAN-bussen (controller area network), og knytte den til en bestemt netv\u00e6rkssocket. N\u00e5r en indkommende besked modtages, kaldes funktionen bcm_rx_handler(). Angriberen kan udnytte race condition og opn\u00e5, at netv\u00e6rkssocketten lukkes samtidig med, at bcm_rx_handler() udf\u00f8res. N\u00e5r socketten lukkes, kaldes funktionen bcm_release(), som frigiver den hukommelse, der er afsat til strukturerne bcm_op og bcm_sock, som stadig er i brug af den k\u00f8rende bcm_rx_handler(). Dette udl\u00f8ser en situation, der f\u00f8rer til adgang til en allerede frigivet hukommelsesblok (use-after-free). <\/p>\n
Angrebet g\u00e5r ud p\u00e5 at \u00e5bne to CAN BCM-sockets og knytte dem til vcan-interface. I den f\u00f8rste socket kaldes sendmsg() med flaget RX_SETUP for at konfigurere beskedbehandleren for indkommende CAN-beskeder, mens der i den anden socket udf\u00f8res et sendmsg()-kald for at sende en besked til den f\u00f8rste socket. Efter modtagelsen af beskeden udl\u00f8ses bcm_rx_handler(), og angriberen v\u00e6lger det rette tidspunkt til at lukke den f\u00f8rste socket, hvilket resulterer i, at bcm_release() k\u00f8res og strukturerne bcm_op og bcm_sock frigives, selvom arbejdet i bcm_rx_handler() stadig ikke er f\u00e6rdigt. <\/p>\n
Gennem manipulation af indholdet af bcm_sock kan en angriber omdirigere pointeren til funktionen sk->sk_data_ready(sk), omdirigere udf\u00f8relsen og ved hj\u00e6lp af teknikker til returdirekte programmering (ROP - Return-Oriented Programming) opn\u00e5 at overskrive parameteren modprobe_path og udf\u00f8re sin egen kode med root-rettigheder. Ved brug af ROP-teknikken fors\u00f8ger angriberen ikke at placere sin kode i hukommelsen, men opererer med allerede eksisterende stykker maskinkode i de indl\u00e6ste biblioteker, der ender med en returkommando (normalt ved afslutningen af biblioteksfunktioner). Eksploitens funktionalitet er at konstruere en k\u00e6de af opkald til s\u00e5danne blokke ('gadgets') for at opn\u00e5 den \u00f8nskede funktionalitet.
<\/center> <\/p>\n
For at udf\u00f8re angrebet kr\u00e6ves adgang til at oprette CAN-sockets og en konfigureret netv\u00e6rksgr\u00e6nseflade vcan. De n\u00f8dvendige tilladelser til at udf\u00f8re angrebet kan opn\u00e5s af en ikke-privilegeret bruger i containere, der oprettes i systemer med aktiveret underst\u00f8ttelse af brugernavnrum (user namespaces). For eksempel er brugernavnrum som standard aktiveret i Ubuntu og Fedora, men ikke aktiveret i Debian og RHEL. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"S\u00e5rbarhed](\"\/wp-content\/uploads\/2021\/06\/60534f0194a819c8401abf2ec53b3a9a.png\")
<\/center> <\/p>\n