{"id":100168,"date":"2021-05-14T16:23:07","date_gmt":"2021-05-14T14:23:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-podsisteme-ebpf-pozvolyayushhie-vypolnit-kod-na-urovne-yadra-linux"},"modified":"2021-05-14T16:23:07","modified_gmt":"2021-05-14T14:23:07","slug":"uyazvimosti-v-podsisteme-ebpf-pozvolyayushhie-vypolnit-kod-na-urovne-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-v-podsisteme-ebpf-pozvolyayushhie-vypolnit-kod-na-urovne-yadra-linux","title":{"rendered":"Schwachstellen im eBPF-Subsystem, die die Ausf\u00fchrung von Code auf Linux-Kernel-Ebene erm\u00f6glichen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Zwei neue Schwachstellen im eBPF-Subsystem wurden identifiziert, die das Ausf\u00fchren von Handlern innerhalb des Linux-Kernels in einer speziellen virtuellen Maschine mit JIT erlauben. Beide Schwachstellen erm\u00f6glichen es, eigenen Code mit Kernel-Rechten au\u00dferhalb der isolierten eBPF-VM auszuf\u00fchren. Informationen zu den Problemen wurden vom Zero Day Initiative-Team ver\u00f6ffentlicht, das die Pwn2Own-Wettbewerbe durchf\u00fchrt. In diesem Jahr wurden dabei drei Angriffe auf Ubuntu Linux demonstriert, die unbekannte Schwachstellen verwendeten (ob die Schwachstellen im eBPF mit diesen Angriffen zusammenh\u00e4ngen, wurde nicht bekannt gegeben). <\/p>\n
\n
CVE-2021-3490 \u2014 Die Schwachstelle wird durch das Fehlen einer \u00dcberpr\u00fcfung der Grenzen von 32-Bit-Werten bei der Ausf\u00fchrung von Bitoperationen (AND, OR und XOR) in eBPF ALU32 verursacht. Ein Angreifer kann diesen Fehler ausnutzen, um Daten au\u00dferhalb der Grenzen des zugewiesenen Puffers zu lesen und zu schreiben. Das Problem bei der XOR-Operation tritt ab der Kernel-Version 5.7-rc1 auf, bei AND und OR hingegen ab der Version 5.10-rc1.\n
CVE-2021-3489 \u2014 Die Schwachstelle resultiert aus einem Fehler bei der Implementierung des Ringpuffers und steht im Zusammenhang damit, dass die Funktion bpf_ringbuf_reserve nicht \u00fcberpr\u00fcfte, ob die Gr\u00f6\u00dfe des zugewiesenen Speichers kleiner sein k\u00f6nnte als die tats\u00e4chliche Gr\u00f6\u00dfe des Ringpuffers. Das Problem tritt ab der Version 5.8-rc1 auf. <\/ul>\n
Den Status der Behebung der Schwachstellen in den Distributionen kann man auf diesen Seiten verfolgen: Ubuntu, Debian, RHEL, Fedora, SUSE, Arch). Die Behebungen sind auch in Form von Patches verf\u00fcgbar (CVE-2021-3489, CVE-2021-3490). Die M\u00f6glichkeit, das Problem auszunutzen, h\u00e4ngt von der Verf\u00fcgbarkeit des eBPF-Systemaufrufs f\u00fcr den Benutzer ab. Beispielsweise ben\u00f6tigt ein Benutzer in der Standardkonfiguration von RHEL, um die Schwachstelle auszunutzen, Rechte von CAP_SYS_ADMIN. <\/p>\n
Eine weitere Schwachstelle im Linux-Kernel \u2014 CVE-2021-32606 \u2014 erm\u00f6glicht es einem lokalen Benutzer, seine Berechtigungen auf Root-Ebene zu erh\u00f6hen. Das Problem tritt ab dem Linux-Kernel 5.11 auf und wird durch einen Rennbedingungen in der Implementierung des CAN ISOTP-Protokolls verursacht, die es erm\u00f6glicht, die Socket-Bindungsparameter aufgrund fehlender ordnungsgem\u00e4\u00dfer Sperren in der Funktion isotp_setsockopt() beim Verarbeiten des Flags CAN_ISOTP_SF_BROADCAST zu \u00e4ndern. <\/p>\n
Nach dem Schlie\u00dfen des ISOTP-Sockets bleibt die Bindung an den Empf\u00e4ngersocket bestehen, der weiterhin die mit dem Socket verbundenen Strukturen nutzen kann, nachdem der zugeh\u00f6rige Speicher freigegeben wurde (use-after-free aufgrund des Zugriffs auf die bereits freigegebene isotp_sock-Struktur beim Aufruf von isotp_rcv()). Durch Datenmanipulationen kann der Zeiger auf die Funktion sk_error_report() \u00fcberschrieben werden, wodurch Code auf Kernel-Ebene ausgef\u00fchrt werden kann. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"