{"id":102952,"date":"2022-01-12T21:36:50","date_gmt":"2022-01-12T19:36:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d1%83%d1%8f%d0%b7%d0%b2%d0%b8%d0%bc%d0%be%d1%81%d1%82%d1%8c-%d0%b2-%d0%bf%d0%be%d0%b4%d1%81%d0%b8%d1%81%d1%82%d0%b5%d0%bc%d0%b5-ebpf-%d0%bf%d0%be%d0%b7%d0%b2%d0%be%d0%bb%d1%8f%d1%8e%d1%89%d0%b0"},"modified":"2022-01-12T21:36:50","modified_gmt":"2022-01-12T19:36:50","slug":"%d1%83%d1%8f%d0%b7%d0%b2%d0%b8%d0%bc%d0%be%d1%81%d1%82%d1%8c-%d0%b2-%d0%bf%d0%be%d0%b4%d1%81%d0%b8%d1%81%d1%82%d0%b5%d0%bc%d0%b5-ebpf-%d0%bf%d0%be%d0%b7%d0%b2%d0%be%d0%bb%d1%8f%d1%8e%d1%89%d0%b0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/%d1%83%d1%8f%d0%b7%d0%b2%d0%b8%d0%bc%d0%be%d1%81%d1%82%d1%8c-%d0%b2-%d0%bf%d0%be%d0%b4%d1%81%d0%b8%d1%81%d1%82%d0%b5%d0%bc%d0%b5-ebpf-%d0%bf%d0%be%d0%b7%d0%b2%d0%be%d0%bb%d1%8f%d1%8e%d1%89%d0%b0","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im eBPF-Subsystem, die die Ausf\u00fchrung von Code auf Kernel-Ebene in Linux erm\u00f6glicht","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im eBPF-Subsystem, das die Ausf\u00fchrung von Handlern innerhalb des Linux-Kernels in einer speziellen virtuellen Maschine mit JIT erm\u00f6glicht, wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2021-4204) entdeckt, die einem lokalen, nicht privilegierten Benutzer die Erh\u00f6hung von Rechten und die Ausf\u00fchrung eigenen Codes auf Kernel-Ebene erm\u00f6glicht. Das Problem tritt seit Kernel-Version 5.8 auf und ist bislang ungepatcht (betrifft auch die Version 5.16). Informationen \u00fcber den Stand der Updates zur Behebung des Problems in den Distributionen k\u00f6nnen auf diesen Seiten verfolgt werden: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. Ein funktionierender Exploit wurde angek\u00fcndigt, der am 18. Januar ver\u00f6ffentlicht werden soll (Benutzern und Entwicklern wurde eine Woche zur Behebung der Sicherheitsanf\u00e4lligkeit einger\u00e4umt). <\/p>\n
Die Schwachstelle entsteht durch eine unzureichende \u00dcberpr\u00fcfung der \u00fcbergebenen eBPF-Programme zur Ausf\u00fchrung. Die eBPF-Unterst\u00fctzung bietet Hilfsfunktionen, deren korrekte Verwendung durch einen speziellen Verifier \u00fcberpr\u00fcft wird. Einige Funktionen erfordern die \u00dcbergabe des Wertes PTR_TO_MEM als Argument, und um m\u00f6gliche Puffer\u00fcberl\u00e4ufe zu verhindern, muss der Verifier die Gr\u00f6\u00dfe des mit dem Argument verbundenen Speichers kennen. F\u00fcr die Funktionen bpf_ringbuf_submit und bpf_ringbuf_discard wurden dem Verifier keine Informationen zur Gr\u00f6\u00dfe des \u00fcbergebenen Speichers bereitgestellt, was zum \u00dcberschreiben von Speicherbereichen au\u00dferhalb des Puffers bei der Ausf\u00fchrung von speziell gestalteten eBPF-Codes ausgenutzt werden konnte. <\/p>\n
F\u00fcr einen Angriff muss der Benutzer in der Lage sein, sein BPF-Programm hochzuladen, und viele moderne Linux-Distributionen blockieren standardm\u00e4\u00dfig diese M\u00f6glichkeit (auch der Zugriff auf eBPF ist seit Kernelausgabe 5.16 standardm\u00e4\u00dfig f\u00fcr unprivilegierte Benutzer verboten). Beispielsweise kann eine Schwachstelle in der Standardkonfiguration von Ubuntu 20.04 LTS ausgenutzt werden, aber in den Umgebungen Ubuntu 22.04-dev, Debian 11, openSUSE 15.3, RHEL 8.5, SUSE 15-SP4 und Fedora 33 erscheint sie nur, wenn der Administrator den Parameter kernel.unprivileged_bpf_disabled auf 0 gesetzt hat. Als Umgehung zum Blockieren der Schwachstelle kann die Ausf\u00fchrung von BPF-Programmen f\u00fcr unprivilegierte Benutzer mit dem Befehl \u201esysctl -w kernel.unprivileged_bpf_disabled=1\u201c untersagt werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"