Sicherheitsforscher von Qualys haben Details zu zwei Schwachstellen ver\u00f6ffentlicht, die den Linux-Kernel und den Systemmanager systemd betreffen. Die Schwachstelle im Kernel (CVE-2021-33909) erm\u00f6glicht es einem lokalen Benutzer, durch Manipulationen mit tief verschachtelten Verzeichnissen Code mit Root-Rechten auszuf\u00fchren. <\/p>\n
Die Gefahr der Schwachstelle wird dadurch verst\u00e4rkt, dass es den Forschern gelungen ist, funktionierende Exploits f\u00fcr Ubuntu 20.04\/20.10\/21.04, Debian 11 und Fedora 34 in der Standardkonfiguration vorzubereiten. Es wird angemerkt, dass andere Distributionen nicht getestet wurden, theoretisch jedoch auch anf\u00e4llig sind und angegriffen werden k\u00f6nnen. Der vollst\u00e4ndige Code der Exploits soll nach der umfassenden Behebung des Problems ver\u00f6ffentlicht werden, bisher ist nur ein eingeschr\u00e4nkter Prototyp verf\u00fcgbar, der zu Systemabst\u00fcrzen f\u00fchrt. Das Problem besteht seit Juli 2014 und betrifft Kernel-Versionen ab 3.16. Der Fix f\u00fcr die Schwachstelle wurde in Abstimmung mit der Community am 19. Juli in den Kernel aufgenommen. Die wichtigsten Distributionen haben bereits Paketupdates mit dem Kernel bereitgestellt (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Die Schwachstelle wird dadurch verursacht, dass das Ergebnis der Typumwandlung von size_t in int vor der Ausf\u00fchrung von Operationen im seq_file-Code, der Dateien aus einer Folge von Eintr\u00e4gen erzeugt, nicht gepr\u00fcft wird. Das Fehlen dieser Pr\u00fcfung kann beim Erstellen, Einh\u00e4ngen und L\u00f6schen einer Verzeichnisstruktur mit sehr gro\u00dfer Verschachtelungstiefe (Pfadl\u00e4nge \u00fcber 1 GB) zu Schreibzugriffen au\u00dferhalb der Puffergrenzen f\u00fchren. Dadurch kann ein Angreifer erreichen, dass die 10-Byte-Zeichenfolge «\\\/\\\/deleted» mit dem Offset «- 2 GB — 10 Byte» in einen Bereich geschrieben wird, der sich unmittelbar vor dem zugewiesenen Puffer befindet. <\/p>\n
Der vorbereitete Exploit ben\u00f6tigt 5 GB RAM und 1 Million freie Inodes. Die Funktionsweise des Exploits besteht darin, durch den Aufruf von mkdir() eine Hierarchie von etwa einer Million verschachtelten Verzeichnissen zu erstellen, um eine Pfadl\u00e4nge von \u00fcber 1 GB zu erreichen. Dieses Verzeichnis wird \u00fcber ein Bind-Mount in einem separaten Benutzerraum (user namespace) eingeh\u00e4ngt, bevor die Funktion rmdir() zum L\u00f6schen aufgerufen wird. Gleichzeitig wird ein Thread erstellt, der ein kleines eBPF-Programm l\u00e4dt, das nach der \u00dcberpr\u00fcfung des eBPF-Pseudocodes, aber vor der JIT-Kompilierung blockiert wird. <\/p>\n
In einem nicht privilegierten Benutzernamensraum wird die Datei \/proc\/self\/mountinfo ge\u00f6ffnet und das Lesen des langen Pfads eines per Bind-Mount eingeh\u00e4ngten Verzeichnisses gestartet, was dazu f\u00fchrt, dass die Zeichenfolge «\\\/\\\/deleted» in den Bereich vor dem Pufferanfang geschrieben wird. Die Schreibposition f\u00fcr diese Zeichenfolge wird so gew\u00e4hlt, dass sie eine Instruktion in einem bereits verifizierten, aber noch nicht kompilierten eBPF-Programm \u00fcberschreibt. <\/p>\n
Anschlie\u00dfend wird der unkontrollierte Schreibzugriff au\u00dferhalb des Puffers auf Ebene des eBPF-Programms durch Manipulation der Strukturen btf und map_push_elem in eine kontrollierte Lese- und Schreibm\u00f6glichkeit auf andere Kernelstrukturen umgewandelt. Letztlich ermittelt der Exploit die Position des Puffers modprobe_path[] im Kernelspeicher und \u00fcberschreibt darin den Pfad «\/sbin\/modprobe», wodurch sich die Ausf\u00fchrung beliebiger ausf\u00fchrbarer Dateien mit Root-Rechten ausl\u00f6sen l\u00e4sst, wenn der Aufruf request_module() erfolgt, der beispielsweise beim Erstellen eines Netlink-Sockets ausgef\u00fchrt wird. <\/p>\n
Die Forscher nennen mehrere Umgehungsma\u00dfnahmen, die nur gegen den konkreten Exploit wirksam sind, das zugrunde liegende Problem jedoch nicht beheben. Es wird empfohlen, den Parameter «\/proc\/sys\/kernel\/unprivileged_userns_clone» auf 0 zu setzen, um das Einh\u00e4ngen von Verzeichnissen in einem separaten Benutzernamensraum zu unterbinden, sowie «\/proc\/sys\/kernel\/unprivileged_bpf_disabled» auf 1, um das Laden von eBPF-Programmen in den Kernel zu verhindern.