{"id":100548,"date":"2021-06-20T10:22:54","date_gmt":"2021-06-20T08:22:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm"},"modified":"2021-06-20T10:22:54","modified_gmt":"2021-06-20T08:22:55","slug":"uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","title":{"rendered":"Eine Schwachstelle im Linux-Kernel betrifft das Netzwerkprotokoll CAN BCM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Linux-Kernel wurde eine Schwachstelle (CVE-2021-3609) entdeckt, die es einem lokalen Benutzer erm\u00f6glicht, seine Systemrechte zu erh\u00f6hen. Das Problem wird durch einen Zeitkonflikt in der Implementierung des CAN BCM-Protokolls verursacht und tritt in den Linux-Kernel-Versionen von 2.6.25 bis 5.13-rc6 auf. In den Distributionen bleibt das Problem bisher unbehebt (RHEL, Fedora, Debian, Ubuntu, SUSE, Arch). <\/p>\n
Der Entdecker der Schwachstelle konnte einen Exploit erstellen, um Root-Rechte auf Systemen mit Linux-Kernen 5.4 und neuer zu erlangen. Es wurde auch gezeigt, dass ein erfolgreicher Angriff auf Ubuntu 20.04.02 LTS m\u00f6glich ist. Es besteht die M\u00f6glichkeit, den Exploit auch f\u00fcr \u00e4ltere Kernel neu zu entwickeln (im Kernel 5.4 wurde der CAN BCM-Code (net\/can\/bcm.c) von hrtimer_tasklet auf HRTIMER_MODE_SOFT umgestellt). <\/p>\n
Das CAN BCM-Protokoll erm\u00f6glicht es, einen eigenen Nachrichtenverarbeiter zu registrieren, der \u00fcber den CAN-Bus (Controller Area Network) eingehende Nachrichten empf\u00e4ngt und an einen bestimmten Netzwerk-Socket zu binden. Sobald eine eingehende Nachricht eintrifft, wird die Funktion bcm_rx_handler() aufgerufen. Ein Angreifer kann einen Zustand von Rennen ausnutzen, um den Netzwerk-Socket gleichzeitig mit der Ausf\u00fchrung von bcm_rx_handler() zu schlie\u00dfen. Beim Schlie\u00dfen des Sockets wird die Funktion bcm_release() aufgerufen, die den f\u00fcr die Strukturen bcm_op und bcm_sock reservierten Speicher freigibt, der weiterhin im laufenden Handler bcm_rx_handler() verwendet wird. Dies f\u00fchrt zu einer Situation, in der auf einen bereits freigegebenen Speicherbereich zugegriffen wird (use-after-free). <\/p>\n
Der Angriff besteht darin, zwei CAN BCM-Sockets zu \u00f6ffnen und sie mit dem vcan-Interface zu verbinden. Im ersten Socket wird sendmsg() mit dem RX_SETUP-Flag aufgerufen, um den Handler f\u00fcr eingehende CAN-Nachrichten einzurichten. Im zweiten Socket erfolgt der Aufruf von sendmsg(), um eine Nachricht an den ersten Socket zu senden. Nach dem Eintreffen der Nachricht wird bcm_rx_handler() aufgerufen, und der Angreifer w\u00e4hlt den richtigen Moment, um den ersten Socket zu schlie\u00dfen, was zur Ausf\u00fchrung von bcm_release() und zur Freigabe der Strukturen bcm_op und bcm_sock f\u00fchrt, w\u00e4hrend die Arbeit von bcm_rx_handler() noch nicht abgeschlossen ist. <\/p>\n
Durch Manipulation des Inhalts von bcm_sock kann ein Angreifer den Zeiger auf die Funktion sk->sk_data_ready(sk) umdefinieren, die Ausf\u00fchrung umleiten und mithilfe von R\u00fccksichtsprogramming-Techniken (ROP - Return-Oriented Programming) die \u00dcberschreibung des Parameters modprobe_path organisieren, um seinen Code mit root-Rechten auszuf\u00fchren. Bei der Verwendung der ROP-Technik versucht der Angreifer nicht, eigenen Code im Speicher abzulegen, sondern arbeitet mit bereits vorhandenen Maschineninstruktionsfragmenten in den geladenen Bibliotheken, die mit der R\u00fcckkehrsteueranweisung enden (in der Regel handelt es sich um das Ende von Bibliotheksfunktionen). Die Funktionsweise des Exploits beschr\u00e4nkt sich auf den Aufbau einer Kette von Aufrufen derartiger Bl\u00f6cke (\u201eGadgets\u201c), um die gew\u00fcnschte Funktionalit\u00e4t zu erhalten.
<\/center> <\/p>\n
F\u00fcr einen Angriff ist der Zugriff auf die Erstellung von CAN-Sockets sowie eine konfigurierte Netzwerkdatenverbindung vcan erforderlich. Die f\u00fcr einen Angriff notwendigen Berechtigungen k\u00f6nnen von einem nicht privilegierten Benutzer in Containern erlangt werden, die in Systemen mit aktivierter Unterst\u00fctzung f\u00fcr Benutzer-Namensr\u00e4ume (user namespaces) erstellt werden. Zum Beispiel sind Benutzer-Namensr\u00e4ume standardm\u00e4\u00dfig in Ubuntu und Fedora aktiviert, jedoch nicht in Debian und RHEL. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Eine](\"\/wp-content\/uploads\/2021\/06\/60534f0194a819c8401abf2ec53b3a9a.png\")
<\/center> <\/p>\n