{"id":107498,"date":"2023-03-24T12:48:20","date_gmt":"2023-03-24T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=107498"},"modified":"2023-03-24T20:21:30","modified_gmt":"2023-03-24T18:21:30","slug":"uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in OverlayFS, die es erm\u00f6glicht, Privilegien zu erh\u00f6hen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Linux-Kernel wurde eine Schwachstelle in der Implementierung des OverlayFS-Dateisystems entdeckt (CVE-2023-0386), die ausgenutzt werden kann, um Root-Zugriff auf Systemen zu erhalten, auf denen das FUSE-Subsystem installiert ist und das Einbinden von OverlayFS-Partitionen durch nicht privilegierte Benutzer erlaubt ist (beginnend mit Kernel 5.11 mit aktivierten nicht privilegierten User Namespaces). Das Problem wurde im Kernel-Zweig 6.2 behoben. Die Ver\u00f6ffentlichung von Paket-Updates in den Distributionen kann auf den Seiten verfolgt werden: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch. <\/p>\n
Ein Angriff erfolgt durch das Kopieren von Dateien mit den Flags setgid\/setuid aus einem in nosuid gemounteten Bereich in einen OverlayFS-Bereich, der mit einem Bereich verbunden ist, der die Ausf\u00fchrung von suid-Dateien erm\u00f6glicht. Die Schwachstelle ist \u00e4hnlich dem Problem CVE-2021-3847, das 2021 entdeckt wurde, unterscheidet sich jedoch durch niedrigere Exploit-Anforderungen \u2013 bei der alten Schwachstelle waren Manipulationen mit xattrs erforderlich, die bei der Verwendung von Benutzernamensr\u00e4umen (user namespace) eingeschr\u00e4nkt sind, w\u00e4hrend in der neuen Schwachstelle die setgid\/setuid-Bits verwendet werden, die im Benutzernamensraum speziell nicht verarbeitet werden. <\/p>\n
Angriffsalgorithmus: <\/p>\n
\n
Mit Hilfe des FUSE-Subsystems wird ein Dateisystem gemountet, in dem sich eine ausf\u00fchrbare Datei des Benutzers root mit den Flags setuid\/setgid befindet, die f\u00fcr alle Benutzer schreibbar ist. Beim Mounten setzt FUSE den Modus \u201enosuid\u201c.\n
Die Benutzer- und Mount-Namespace werden aufgebrochen (unshare).\n
Ein OverlayFS wird gemountet, wobei das zuvor in FUSE erstellte Dateisystem als untere Schicht und die obere Schicht auf Basis eines schreibbaren Verzeichnisses definiert wird. Das Verzeichnis der oberen Schicht muss sich in einem Dateisystem befinden, bei dessen Mounten das Flag \u201enosuid\u201c nicht verwendet wird.\n
F\u00fcr die suid-Datei im FUSE-Bereich wird mit dem Dienstprogramm touch die \u00c4nderungszeit ge\u00e4ndert, was dazu f\u00fchrt, dass sie in die obere Schicht des OverlayFS kopiert wird.\n
Beim Kopieren entfernt der Kernel nicht die setgid\/setuid-Flags, sodass die Datei in der Partition erscheint, die die Bearbeitung von setgid\/setuid erlaubt.\n
Um Root-Rechte zu erlangen, gen\u00fcgt es, die Datei mit den setgid\/setuid-Flags aus dem Verzeichnis, das an die obere Schicht des OverlayFS angeh\u00e4ngt ist, auszuf\u00fchren. <\/ul>\n
Zus\u00e4tzlich ist zu erw\u00e4hnen, dass Forscher des Google Project Zero-Teams drei Schwachstellen offenbart haben, die im Hauptzweig des Linux-Kernels 5.15 behoben wurden, aber nicht in die Kernel-Pakete von RHEL 8.x\/9.x und CentOS Stream 9 integriert wurden. <\/p>\n
\n
CVE-2023-1252 \u2013 Zugriff auf bereits freigegebenen Speicherbereich in der Struktur ovl_aio_req bei gleichzeitiger Ausf\u00fchrung mehrerer Operationen in einem OverlayFS, das \u00fcber einem Ext4-Dateisystem bereitgestellt ist. Potenziell erm\u00f6glicht die Schwachstelle, die eigenen Privilegien im System zu erh\u00f6hen.\n
CVE-2023-0590 \u2013 Zugriff auf bereits freigegebenen Speicherbereich in der Funktion qdisc_graft(). Es wird angenommen, dass die Ausnutzung mit einem Absturz begrenzt ist.\n
CVE-2023-1249 \u2013 Zugriff auf bereits freigegebenen Speicherbereich im coredump-Aufzeichnungscode, der durch einen vers\u00e4umten Aufruf von mmap_lock in file_files_note verursacht wird. Es wird angenommen, dass die Ausnutzung mit einem Absturz begrenzt ist. <\/ul>\n