{"id":102952,"date":"2022-01-12T21:36:50","date_gmt":"2022-01-12T19:36:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d1%83%d1%8f%d0%b7%d0%b2%d0%b8%d0%bc%d0%be%d1%81%d1%82%d1%8c-%d0%b2-%d0%bf%d0%be%d0%b4%d1%81%d0%b8%d1%81%d1%82%d0%b5%d0%bc%d0%b5-ebpf-%d0%bf%d0%be%d0%b7%d0%b2%d0%be%d0%bb%d1%8f%d1%8e%d1%89%d0%b0"},"modified":"2022-01-12T21:36:50","modified_gmt":"2022-01-12T19:36:50","slug":"%d1%83%d1%8f%d0%b7%d0%b2%d0%b8%d0%bc%d0%be%d1%81%d1%82%d1%8c-%d0%b2-%d0%bf%d0%be%d0%b4%d1%81%d0%b8%d1%81%d1%82%d0%b5%d0%bc%d0%b5-ebpf-%d0%bf%d0%be%d0%b7%d0%b2%d0%be%d0%bb%d1%8f%d1%8e%d1%89%d0%b0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/%d1%83%d1%8f%d0%b7%d0%b2%d0%b8%d0%bc%d0%be%d1%81%d1%82%d1%8c-%d0%b2-%d0%bf%d0%be%d0%b4%d1%81%d0%b8%d1%81%d1%82%d0%b5%d0%bc%d0%b5-ebpf-%d0%bf%d0%be%d0%b7%d0%b2%d0%be%d0%bb%d1%8f%d1%8e%d1%89%d0%b0","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit im eBPF-Subsystem, die die Ausf\u00fchrung von Code auf Kernel-Ebene in Linux erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im eBPF-Subsystem, das die Ausf\u00fchrung von Handlern innerhalb des Linux-Kernels in einer speziellen JIT-virtuellen Maschine erm\u00f6glicht, wurde eine Schwachstelle (CVE-2021-4204) entdeckt, die es einem lokalen nicht privilegierten Benutzer erlaubt, seine Berechtigungen zu erh\u00f6hen und eigenen Code auf Kernel-Ebene auszuf\u00fchren. Das Problem tritt ab Kernel-Version 5.8 auf und ist bisher ungepatcht (betrifft auch Version 5.16). Den Fortschritt bei der Erstellung von Updates zur Behebung des Problems in verschiedenen Distributionen kann man auf den folgenden Seiten verfolgen: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. Ein funktionierender Exploit wurde angek\u00fcndigt, der am 18. Januar ver\u00f6ffentlicht werden soll (Benutzern und Entwicklern wurde eine Woche zur Behebung der Schwachstelle gegeben). <\/p>\n
Die Schwachstelle wird durch unzureichende \u00dcberpr\u00fcfung der \u00fcbergebenen eBPF-Programme verursacht. Das eBPF-Subsystem bietet Hilfsfunktionen, deren korrekte Verwendung durch einen speziellen Verifier \u00fcberpr\u00fcft wird. Einige Funktionen erfordern die \u00dcbergabe des Wertes PTR_TO_MEM als Argument, und um m\u00f6gliche Puffer\u00fcberl\u00e4ufe zu verhindern, muss der Verifier die Gr\u00f6\u00dfe des mit dem Argument verkn\u00fcpften Speichers kennen. F\u00fcr die Funktionen bpf_ringbuf_submit und bpf_ringbuf_discard wurden die Gr\u00f6\u00dfenangaben des \u00fcbergebenen Speichers dem Verifier nicht mitgeteilt, was f\u00fcr die \u00dcberschreibung von Speicherbereichen au\u00dferhalb des Puffers verwendet werden konnte, wenn speziell gestalteter eBPF-Code ausgef\u00fchrt wurde. <\/p>\n
Um einen Angriff durchzuf\u00fchren, muss der Benutzer die M\u00f6glichkeit haben, sein eigenes BPF-Programm hochzuladen, und viele aktuelle Linux-Distributionen blockieren diese M\u00f6glichkeit standardm\u00e4\u00dfig (insbesondere ist der unprivilegierte Zugriff auf eBPF seit der Kernversion 5.16 standardm\u00e4\u00dfig verboten). Zum Beispiel kann eine Schwachstelle in der Standardkonfiguration in Ubuntu 20.04 LTS ausgenutzt werden, aber in den Umgebungen Ubuntu 22.04-dev, Debian 11, openSUSE 15.3, RHEL 8.5, SUSE 15-SP4 und Fedora 33 tritt dies nur auf, wenn der Administrator die Einstellung kernel.unprivileged_bpf_disabled auf 0 gesetzt hat. Als Umgehung des Blockierens der Schwachstelle kann die Ausf\u00fchrung von BPF-Programmen f\u00fcr unprivilegierte Benutzer mit dem Befehl «sysctl -w kernel.unprivileged_bpf_disabled=1» verboten werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"