Im Linux-Kernel wurde eine kritische Sicherheitsanf\u00e4lligkeit der f\u00fcnften (1, 2, 3) Kategorie in den letzten zwei Wochen entdeckt, die es einem Benutzer erm\u00f6glicht, seine Berechtigungen im System zu erh\u00f6hen. Es wurden zwei funktionierende Exploits ver\u00f6ffentlicht: sshkeysign_pwn erm\u00f6glicht es einem unprivilegierten Benutzer, den Inhalt der privaten Host-SSH-Schl\u00fcssel \/etc\/ssh\/ssh_host_*_key zu lesen, w\u00e4hrend chage_pwn den Zugriff auf die Datei \/etc\/shadow mit den Hashes der Benutzerpassw\u00f6rter erlaubt. <\/p>\n
Die Informationen \u00fcber die Schwachstelle waren nicht zur Offenlegung geplant, aber einer der Sicherheitsforscher konnte anhand des vorgeschlagenen Patches f\u00fcr den Kernel die Essenz der Schwachstelle bestimmen, die es erm\u00f6glicht, Dateien zu lesen, die nur f\u00fcr den Benutzer root zug\u00e4nglich sind, wie z.B. \/etc\/shadow. In der im Kernel hinzugef\u00fcgten \u00c4nderung wurde die Logik der Verwendung der Funktion get_dumpable() in ptrace bei der Bestimmung des Zugriffslevels in der Funktion ptrace_may_access() angepasst. <\/p>\n
Die Schwachstelle selbst wird durch einen Zeitrennen verursacht, der es erm\u00f6glicht, unprivilegierten Zugriff auf den Dateideskriptor pidfd zu erhalten, nachdem auf eine Datei aus dem SUID-root-Prozess zugegriffen wurde. In dem Moment zwischen dem \u00d6ffnen der Datei und dem Zur\u00fccksetzen der Privilegien im SUID-Programm (zum Beispiel \u00fcber die Funktion setreuid) tritt eine Situation auf, in der die Anwendung, die das SUID-root-Programm gestartet hat, \u00fcber den Deskriptor pidfd auf die in dem SUID-Programm ge\u00f6ffnete Datei zugreifen kann, auch wenn dies durch die Zugriffsrechte der Datei nicht erlaubt ist. <\/p>\n
Das Exploitation-Fenster entsteht dadurch, dass die Funktion \u201e__ptrace_may_access()\u201c die \u00dcberpr\u00fcfung des Zugriffs auf die Datei \u00fcberspringt, wenn das Feld task->mm nach der Ausf\u00fchrung von exit_mm() auf NULL gesetzt wird, aber bevor exit_files() aufgerufen wird. Derzeit geht der Systemaufruf pidfd_getfd davon aus, dass die Benutzer-ID (uid) des aufrufenden Prozesses mit der ID \u00fcbereinstimmt, die den Datei-Zugriff erlaubt. Bemerkenswert ist, dass das Problem bereits 2020 angesprochen wurde, aber bisher nicht behoben ist. <\/p>\n
Im Exploit, der den Inhalt von \/etc\/shadow ausliest, besteht der Angriff darin, das Programm \/usr\/bin\/chage kontinuierlich \u00fcber fork+execl mit dem suid-root-Flag zu starten, das den Inhalt von \/etc\/shadow liest. Nachdem der Prozess abgezweigt wurde, erfolgt ein Systemaufruf pidfd_open und es wird ein zyklisches Durchlaufen der verf\u00fcgbaren pidfd-Deskriptoren \u00fcber den Systemaufruf pidfd_getfd sowie deren \u00dcberpr\u00fcfung \u00fcber \/proc\/self\/fd durchgef\u00fchrt. Im Exploit sshkeysign_pwn werden \u00e4hnliche Manipulationen mit dem suid-root-Programm ssh-keysign durchgef\u00fchrt. <\/p>\n
Ein CVE-Identifikator f\u00fcr das Problem wurde bisher nicht zugewiesen, Updates f\u00fcr den Kernel und Pakete in den Distributionen wurden nicht ver\u00f6ffentlicht. In den vor wenigen Stunden ver\u00f6ffentlichten Kernen 7.0.7, 6.18.30 und 6.12.88 wurde die Schwachstelle nicht behoben. Zum Zeitpunkt der Ver\u00f6ffentlichung dieser Nachricht kann nur der Patch verwendet werden. Es werden m\u00f6gliche Umgehungsstrategien zur Blockierung der Schwachstelle diskutiert, wie z.B. das Setzen von sysctl kernel.yama.ptrace_scope=3 oder das Entfernen des suid-root-Flags von ausf\u00fchrbaren Dateien im System (zumindest von den in Exploits verwendeten Utilities ssh-keysign und chage).