Sicherheitsforscher von Qualys haben Details zu zwei Schwachstellen im Linux-Kernel und dem Systemmanager systemd ver\u00f6ffentlicht. Die Schwachstelle im Kernel (CVE-2021-33909) erm\u00f6glicht es einem lokalen Benutzer, durch Manipulationen an tiefen Verzeichnissen Code mit Root-Rechten auszuf\u00fchren. <\/p>\n
Die Gefahr der Schwachstelle wird dadurch verst\u00e4rkt, dass es den Forschern gelungen ist, funktionierende Exploits f\u00fcr die Standardkonfiguration von Ubuntu 20.04\/20.10\/21.04, Debian 11 und Fedora 34 zu erstellen. Es wird darauf hingewiesen, dass andere Distributionen nicht \u00fcberpr\u00fcft wurden, theoretisch jedoch ebenfalls betroffen sein k\u00f6nnten und angegriffen werden k\u00f6nnen. Den vollst\u00e4ndigen Code der Exploits wollen sie nach der umfassenden Behebung des Problems ver\u00f6ffentlichen; derzeit ist nur ein funktionslimitierter Prototyp verf\u00fcgbar, der einen Systemabsturz verursacht. Das Problem besteht seit Juli 2014 und betrifft Kernel-Versionen ab 3.16. Die Behebung der Schwachstelle wurde mit der Community abgestimmt und am 19. Juli in den Kernel integriert. Die Hauptdistributionen haben bereits Paket-Updates f\u00fcr den Kernel erstellt (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Die Schwachstelle entsteht durch das Fehlen einer \u00dcberpr\u00fcfung des Ergebnisses der Typumwandlung von size_t in int, bevor Operationen im seq_file-Code, der Dateien aus einer Sequenz von Aufzeichnungen erstellt, durchgef\u00fchrt werden. Das Fehlen dieser \u00dcberpr\u00fcfung kann beim Erstellen, Einbinden und L\u00f6schen von Verzeichnissen mit einer sehr hohen Verschachtelungstiefe (Pfadl\u00e4nge \u00fcber 1 GB) zu einem Schreibzugriff au\u00dferhalb der Grenzen des Puffers f\u00fchren. Dadurch kann ein Angreifer erreichen, dass eine 10-Byte-Zeichenkette \u201e\/\/deleted\u201c mit einer Offsets von \u201e- 2 GB - 10 Byte\u201c geschrieben wird, was auf den Bereich hinweist, der direkt vor dem zugewiesenen Puffer liegt. <\/p>\n
Der vorbereitete Exploit ben\u00f6tigt 5 GB RAM und 1 Million freie Inodes, um zu funktionieren. Der Ablauf des Exploits besteht darin, eine Hierarchie aus etwa einer Million verschachtelter Verzeichnisse durch den Aufruf mkdir() zu schaffen, um eine Dateipfadgr\u00f6\u00dfe von \u00fcber 1 GB zu erreichen. Dieses Verzeichnis wird \u00fcber einen Bind-Mount in einem separaten Benutzer-Namensraum montiert, und anschlie\u00dfend wird die Funktion rmdir() zum L\u00f6schen des Verzeichnisses aufgerufen. Parallel dazu wird ein Thread erstellt, der ein kleines eBPF-Programm l\u00e4dt und an dem Punkt blockiert, an dem der Pseudocode eBPF \u00fcberpr\u00fcft wird, jedoch bevor die JIT-Kompilierung erfolgt. <\/p>\n
Im unprivilegierten Namensraum der Benutzer-IDs wird die Datei \/proc\/self\/mountinfo ge\u00f6ffnet, und es beginnt das Lesen des langen Pfades des mit einem Bind-Mount eingebundenen Verzeichnisses, was dazu f\u00fchrt, dass die Zeichenkette \u201e\/\/deleted\u201c in den Bereich vor dem Beginn des Puffers geschrieben wird. Die Schreibposition f\u00fcr die Zeichenkette wird so gew\u00e4hlt, dass sie einen Befehl in einem bereits gepr\u00fcften, aber noch nicht kompilierten eBPF-Programm \u00fcberschreibt. <\/p>\n
Auf der Ebene des eBPF-Programms wird unkontrollierter Buffer Overflow in eine kontrollierte Lese- und Schreibm\u00f6glichkeit in andere Kernelstrukturen umgewandelt, indem mit den btf- und map_push_elem-Strukturen manipuliert wird. Dadurch wird der Standort des Buffers modprobe_path[] im Kernel-Speicher bestimmt und der Pfad '\/sbin\/modprobe' \u00fcberschrieben, was die Ausf\u00fchrung beliebiger ausf\u00fchrbarer Dateien mit Root-Rechten erm\u00f6glicht, wenn der Aufruf request_module() erfolgt, der beispielsweise bei der Erstellung eines netlink-Sockets ausgef\u00fchrt wird. <\/p>\n
Die Forscher f\u00fchren mehrere Umgehungsmethoden an, die nur f\u00fcr bestimmte Exploits effektiv sind, aber das zugrunde liegende Problem nicht beheben. Es wird empfohlen, den Parameter '\/proc\/sys\/kernel\/unprivileged_userns_clone' auf den Wert 0 zu setzen, um das Mounten von Verzeichnissen in einem separaten Namensraum von Benutzer-IDs zu verhindern, sowie '\/proc\/sys\/kernel\/unprivileged_bpf_disabled' auf 1 zu setzen, um das Laden von eBPF-Programmen in den Kernel zu verbieten.