{"id":100548,"date":"2021-06-20T10:22:54","date_gmt":"2021-06-20T08:22:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm"},"modified":"2021-06-20T10:22:54","modified_gmt":"2021-06-20T08:22:55","slug":"uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","title":{"rendered":"Vulnerabilidad en el n\u00facleo de Linux que afecta al protocolo de red CAN BCM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha detectado una vulnerabilidad en el n\u00facleo de Linux (CVE-2021-3609) que permite a un usuario local elevar sus privilegios en el sistema. El problema es causado por una condici\u00f3n de carrera en la implementaci\u00f3n del protocolo CAN BCM y se manifiesta en las versiones del n\u00facleo de Linux desde 2.6.25 hasta 5.13-rc6. En las distribuciones, el problema a\u00fan no se ha corregido (RHEL, Fedora, Debian, Ubuntu, SUSE, Arch). <\/p>\n
El investigador que identific\u00f3 la vulnerabilidad logr\u00f3 preparar un exploit para obtener derechos de root en sistemas con n\u00facleos Linux 5.4 y versiones m\u00e1s recientes, demostrando la posibilidad de llevar a cabo un ataque exitoso en Ubuntu 20.04.02 LTS. No se descarta la posibilidad de modificar el exploit para que funcione con n\u00facleos m\u00e1s antiguos (en el n\u00facleo 5.4, el c\u00f3digo CAN BCM (net\/can\/bcm.c) fue trasladado de hrtimer_tasklet a HRTIMER_MODE_SOFT). <\/p>\n
El protocolo CAN BCM permite registrar un manejador de mensajes propio que recibe mensajes a trav\u00e9s del bus CAN (controller area network) y asociarlo a un socket de red espec\u00edfico. Cuando se recibe un mensaje entrante, se invoca la funci\u00f3n bcm_rx_handler(). El atacante puede aprovechar la condici\u00f3n de carrera y lograr el cierre del socket de red al mismo tiempo que se ejecuta bcm_rx_handler(). Al cerrarse el socket, se llama a la funci\u00f3n bcm_release(), en la cual se libera la memoria asignada para las estructuras bcm_op y bcm_sock, que contin\u00faan utiliz\u00e1ndose en el manejador bcm_rx_handler() a\u00fan en ejecuci\u00f3n. Se genera una situaci\u00f3n que conduce a un acceso a un bloque de memoria ya liberado (use-after-free). <\/p>\n
El ataque consiste en abrir dos sockets CAN BCM y asociarlos a la interfaz vcan. En el primer socket se llama a sendmsg() con la bandera RX_SETUP para configurar el manejador de mensajes entrantes de CAN, y en el segundo socket se realiza una llamada a sendmsg() para enviar un mensaje al primer socket. Tras la llegada del mensaje, se activa la llamada a bcm_rx_handler(), y el atacante elige el momento adecuado para cerrar el primer socket, lo que provoca la ejecuci\u00f3n de bcm_release() y la liberaci\u00f3n de las estructuras bcm_op y bcm_sock, aunque el trabajo de bcm_rx_handler() a\u00fan no ha finalizado. <\/p>\n
A trav\u00e9s de manipulaciones con el contenido de bcm_sock, un atacante puede redefinir el puntero de la funci\u00f3n sk->sk_data_ready(sk), redirigir la ejecuci\u00f3n y, utilizando t\u00e9cnicas de programaci\u00f3n orientada a retorno (ROP \u2014 Return-Oriented Programming), lograr la sobrescritura del par\u00e1metro modprobe_path y conseguir que su c\u00f3digo se ejecute con privilegios de root. Al utilizar la t\u00e9cnica ROP, el atacante no intenta colocar su c\u00f3digo en la memoria, sino que opera con fragmentos de instrucciones de m\u00e1quina que ya existen en las bibliotecas cargadas, los cuales terminan con una instrucci\u00f3n de retorno de control (generalmente, estas son las terminaciones de funciones de biblioteca). La funci\u00f3n del exploit se reduce a construir una cadena de llamadas a bloques semejantes (\"gadgets\") para obtener la funcionalidad deseada.
<\/center> <\/p>\n
Para realizar el ataque se requiere acceso para crear sockets CAN y una interfaz de red vcan configurada. Los permisos necesarios para llevar a cabo el ataque pueden ser obtenidos por un usuario no privilegiado en contenedores creados en sistemas con el soporte activado para espacios de nombres de identificadores de usuario (user namespaces). Por ejemplo, los espacios de nombres de usuario est\u00e1n habilitados por defecto en Ubuntu y Fedora, pero no est\u00e1n activados en Debian y RHEL. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Vulnerabilidad](\"\/wp-content\/uploads\/2021\/06\/60534f0194a819c8401abf2ec53b3a9a.png\")
<\/center> <\/p>\n