Im iSCSI-Subsystem-Code des Linux-Kernels wurde eine Sicherheitsanfälligkeit (CVE-2021-27365) entdeckt, die es einem nicht privilegierten lokalen Benutzer ermöglicht, Code im Kernel-Level auszuführen und Root-Rechte im System zu erlangen. Ein funktionierender Exploit-Prototyp steht zum Testen zur Verfügung. Die Sicherheitsanfälligkeit wurde in den Kernel-Updates 5.11.4, 5.10.21, 5.4.103, 4.19.179, 4.14.224, 4.9.260 und 4.4.260 behoben. Updates der Kernel-Pakete sind in den Distributoren Debian, Ubuntu, SUSE/openSUSE, Arch Linux und Fedora verfügbar. Für RHEL wurden bislang keine Patches veröffentlicht.
Das Problem wird durch einen Fehler in der Funktion iscsi_host_get_param() des libiscsi-Moduls verursacht, der bereits 2006 während der Entwicklung des iSCSI-Subsystems eingeführt wurde. Aufgrund mangelnder Größenprüfungen können einige Stringattribute von iSCSI, wie Hostname oder Benutzername, den Wert von PAGE_SIZE (4 KB) überschreiten. Die Sicherheitsanfälligkeit kann ausgenutzt werden, indem ein nicht privilegierter Benutzer Netlink-Nachrichten sendet, die iSCSI-Attribute auf Werte festlegen, die PAGE_SIZE überschreiten. Beim Lesen dieser Attributdaten über sysfs oder seqfs wird Code aufgerufen, der die Attribute an die Funktion sprintf übergibt, um sie in einen Buffer zu kopieren, dessen Größe PAGE_SIZE entspricht.
Die Ausnutzung der Schwachstelle in den Distributionen hängt von der Unterstützung des automatischen Ladens des Kernel-Moduls scsi_transport_iscsi ab, wenn versucht wird, einen NETLINK_ISCSI-Socket zu erstellen. In Distributionen, in denen dieses Modul automatisch geladen wird, kann der Angriff unabhängig von der Nutzung der iSCSI-Funktionalität durchgeführt werden. Für eine erfolgreiche Ausführung des Exploits ist außerdem die Registrierung mindestens eines iSCSI-Transports erforderlich. Zur Registrierung des Transports kann das Kernel-Modul ib_iser verwendet werden, das automatisch geladen wird, wenn ein nicht privilegierter Benutzer versucht, einen NETLINK_RDMA-Socket zu erstellen.
Die automatische Ladung der für die Ausführung von Exploits benötigten Module wird in CentOS 8, RHEL 8 und Fedora unterstützt, wenn das rdma-core-Paket installiert ist, welches eine Abhängigkeit für einige beliebte Pakete darstellt und standardmäßig in Konfigurationen für Workstations, Serversysteme mit GUI und Host-Umgebungen für Virtualisierung enthalten ist. Dabei wird rdma-core nicht installiert, wenn eine Serverinstallation verwendet wird, die nur im Konsolenmodus läuft, und bei der Installation eines minimalen Images. Zum Beispiel ist das Paket Teil der Grundinstallation von Fedora 31 Workstation, aber nicht in Fedora 31 Server enthalten. Debian und Ubuntu sind weniger anfällig für dieses Problem, da das rdma-core-Paket die erforderlichen Kernelmodule nur bei Vorhandensein von RDMA-Hardware lädt.
Als Workaround zum Schutz kann das automatische Laden des libiscsi-Moduls verboten werden: echo "install libiscsi /bin/true" >> /etc/modprobe.d/disable-libiscsi.conf
Zusätzlich wurden im iSCSI-Subsystem zwei weniger kritische Schwachstellen behoben, die zu einem Datenleck aus dem Kernel führen können: CVE-2021-27363 (Austritt von Informationen über den iSCSI-Transportdescriptor über sysfs) und CVE-2021-27364 (Lesen aus dem Bereich außerhalb des Pufferrands). Diese Schwachstellen können genutzt werden, um ohne erforderliche Berechtigungen über einen Netlink-Socket mit dem iSCSI-Subsystem zu interagieren. Beispielsweise kann ein nicht privilegierter Benutzer eine Verbindung zu iSCSI herstellen und den Befehl „end a session“ zum Beenden einer Sitzung senden.
Quelle: opennet.ru
