{"id":107498,"date":"2023-03-24T12:48:20","date_gmt":"2023-03-24T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=107498"},"modified":"2023-03-24T20:21:30","modified_gmt":"2023-03-24T18:21:30","slug":"uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in OverlayFS erm\u00f6glicht Privilegienausweitung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Sicherheitsanf\u00e4lligkeit (CVE-2023-0386) wurde im Linux-Kernel in der Implementierung des OverlayFS-Dateisystems festgestellt. Diese kann verwendet werden, um Root-Zugriff auf Systemen zu erlangen, auf denen das FUSE-Subsystem installiert ist und das Einh\u00e4ngen von OverlayFS-Partitionen durch nicht privilegierte Benutzer erlaubt ist (seit Kernel 5.11 mit aktivierten nicht privilegierten Benutzer-Namespaces). Das Problem wurde im Kernel-Branch 6.2 behoben. Die Ver\u00f6ffentlichung von Paket-Updates in den Distributionen kann auf den Seiten verfolgt werden: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch. <\/p>\n
Der Angriff erfolgt durch das Kopieren von Dateien mit den Flags setgid\/setuid aus einem im nosuid-Modus gemounteten Dateisystem in eine OverlayFS-Partition, die mit einer Partition verbunden ist, die die Ausf\u00fchrung von suid-Dateien erm\u00f6glicht. Diese Schwachstelle ist \u00e4hnlich der CVE-2021-3847, die 2021 entdeckt wurde, jedoch mit niedrigeren Exploitation-Anforderungen \u2013 bei dem alten Problem waren Manipulationen mit xattrs erforderlich, die bei der Verwendung von Benutzerraum-Namespaces (user namespace) eingeschr\u00e4nkt sind, w\u00e4hrend bei diesem neuen Problem die setgid\/setuid-Bits verwendet werden, die im Benutzerraum speziell nicht behandelt werden. <\/p>\n
Angriffsalgorithmus: <\/p>\n
\n
Durch das FUSE-Subsystem wird ein Dateisystem gemountet, das eine ausf\u00fchrbare Datei mit den Flags setuid\/setgid im Besitz des Benutzers root enth\u00e4lt, die f\u00fcr alle Benutzer schreibbar ist. Beim Mounten setzt FUSE den Modus \"nosuid\".\n
Die Benutzer- und Mount-Namespace werden aufgehoben (unshare).\n
Es wird ein OverlayFS gemountet, wobei das zuvor in FUSE erstellte Dateisystem als untere Schicht und eine obere Schicht basierend auf einem beschreibbaren Verzeichnis verwendet wird. Das Verzeichnis der oberen Schicht muss sich in einem Dateisystem befinden, bei dem beim Mounten der Flag \"nosuid\" nicht verwendet wird.\n
F\u00fcr die suid-Datei im FUSE-Bereich wird durch das Tool touch die \u00c4nderungszeit ge\u00e4ndert, was dazu f\u00fchrt, dass sie in die obere Schicht von OverlayFS kopiert wird.\n
Beim Kopieren entfernt der Kernel nicht die setgid\/setuid-Flags, was dazu f\u00fchrt, dass die Datei im Bereich erscheint, der die Verarbeitung von setgid\/setuid zul\u00e4sst.\n
Um root-Rechte zu erhalten, reicht es aus, die Datei mit den setgid\/setuid-Flags aus dem Verzeichnis zu starten, das an die obere Schicht von OverlayFS angeh\u00e4ngt ist. <\/ul>\n
Zus\u00e4tzlich wurde von den Forschern des Google Project Zero-Teams auf drei Schwachstellen hingewiesen, die im Hauptzweig des Linux-Kernels 5.15 behoben wurden, jedoch nicht in die Kernel-Pakete von RHEL 8.x\/9.x und CentOS Stream 9 \u00fcbernommen wurden. <\/p>\n
\n
CVE-2023-1252 \u2013 Zugriff auf bereits freigegebenen Speicherbereich in der Struktur ovl_aio_req bei der gleichzeitigen Ausf\u00fchrung mehrerer Operationen in OverlayFS, das \u00fcber dem Ext4-Dateisystem bereitgestellt ist. Diese Schwachstelle k\u00f6nnte potenziell dazu verwendet werden, die eigenen Systemprivilegien zu erh\u00f6hen.\n
CVE-2023-0590 \u2013 Zugriff auf bereits freigegebenen Speicherbereich in der Funktion qdisc_graft(). Es wird angenommen, dass die Ausnutzung auf einen Systemabsturz beschr\u00e4nkt ist.\n
CVE-2023-1249 \u2013 Zugriff auf bereits freigegebenen Speicherbereich im Coredump-Schreibcode, der durch einen verpassten Aufruf von mmap_lock in file_files_note verursacht wird. Es wird angenommen, dass die Ausnutzung auf einen Systemabsturz beschr\u00e4nkt ist. <\/ul>\n