Sikkerhedsforskere fra Qualys har afsl\u00f8ret detaljerne om to s\u00e5rbarheder, der ber\u00f8rer Linux-kernen og systemadministrator-systemet systemd. S\u00e5rbarheden i kernen (CVE-2021-33909) giver en lokal bruger mulighed for at udf\u00f8re kode med root-rettigheder gennem manipulation af dybt indlejrede kataloger. <\/p>\n
Faren ved s\u00e5rbarheden forv\u00e6rres af, at forskerne har v\u00e6ret i stand til at forberede fungerende exploits, der fungerer i Ubuntu 20.04\/20.10\/21.04, Debian 11 og Fedora 34 i standardkonfigurationen. Det bem\u00e6rkes, at andre distributioner ikke er blevet testet, men teoretisk set ogs\u00e5 kan v\u00e6re p\u00e5virket og udsat for angreb. Den komplette kodning af exploits forventes offentliggjort efter at problemet er blevet udbedret globalt, mens en begr\u00e6nset prototype, der for\u00e5rsager systemnedbrud, allerede er tilg\u00e6ngelig. Problemet har v\u00e6ret til stede siden juli 2014 og ber\u00f8rer kerneudgivelser fra version 3.16. Rettelsen af s\u00e5rbarheden blev koordineret med samfundet og blev inkluderet i kernen den 19. juli. De vigtigste distributioner har allerede udgivet opdateringer af pakkerne med kernen (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
S\u00e5rbarheden skyldes manglende kontrol af resultatet ved konvertering fra size_t til int, f\u00f8r operationer udf\u00f8res i seq_file-koden, der skaber filer ud fra en sekvens af poster. Manglen p\u00e5 kontrol kan f\u00f8re til skrivning uden for buffergr\u00e6nsen ved oprettelse, montering og sletning af katalogstrukturer med et meget h\u00f8jt niveau af indlejring (st\u00f8rrelse p\u00e5 stien over 1 GB). Som et resultat kan en angriber opn\u00e5 at skrive en 10-byte streng \"\/\/deleted\" med en offset p\u00e5 \"- 2 GB - 10 bytes\", der peger p\u00e5 omr\u00e5det umiddelbart f\u00f8r den tildelte buffer. <\/p>\n
Den forberedte exploit kr\u00e6ver 5 GB hukommelse og 1 million ledige inode. Exploitens operation reduceres til at oprette en hierarki af omkring en million indlejrede kataloger ved hj\u00e6lp af mkdir()-kaldet for at opn\u00e5 en filst\u00f8rrelse p\u00e5 mere end 1 GB. Dette katalog monteres via bind-mount i et separat bruger-ID-navnerum og derefter startes rmdir()-funktionen for at slette det. Samtidig oprettes en tr\u00e5d, der indl\u00e6ser et lille eBPF-program, som blokeres i et trin efter kontrol af eBPF-pseudokoden, men f\u00f8r dens JIT-kompilering. <\/p>\n
I et ikke-privilegeret bruger-id-rum \u00e5bnes filen \/proc\/self\/mountinfo, og en lang sti til et katalog, der er monteret via bind-mount, begynder at blive l\u00e6st, hvilket f\u00f8rer til skrivning af strengen \"\/\/deleted\" i omr\u00e5det f\u00f8r begyndelsen af bufferen. Positionen for skrivningen v\u00e6lges p\u00e5 en m\u00e5de, s\u00e5 den overskriver en instruktion i et allerede verificeret, men endnu ikke kompilert eBPF-program. <\/p>\n
Derefter transformeres den ukontrollerede skrivning uden for bufferen p\u00e5 eBPF-programniveauet til en kontrolleret l\u00e6se- og skrivekapacitet i andre kernelstrukturer gennem manipulation af btf-strukturer og map_push_elem. Som f\u00f8lge heraf bestemmer exploit placeringen af bufferen modprobe_path[] i kernelens hukommelse og overskriver den med stien \"\\\/sbin\\\/modprobe\", hvilket tillader, at enhver eksekverbar fil med root-rettigheder kan igangs\u00e6ttes, n\u00e5r der udf\u00f8res et request_module()-kald, som fx udf\u00f8res ved oprettelse af en netlink-socket. <\/p>\n
Forskere pr\u00e6senterer flere arbejdsgange til beskyttelse, som kun er effektive for den specifikke exploit, men som ikke l\u00f8ser det grundl\u00e6ggende problem. Det anbefales at s\u00e6tte parameteren \"\\\/proc\\\/sys\\\/kernel\\\/unprivileged_userns_clone\" til 0 for at forbyde montering af kataloger i en separat bruger-id-rum, samt \"\\\/proc\\\/sys\\\/kernel\\\/unprivileged_bpf_disabled\" til 1 for at forbyde indl\u00e6sning af eBPF-programmer i kernen.