Investigadores de seguridad de la empresa Qualys han revelado los detalles de dos vulnerabilidades que afectan al n\u00facleo de Linux y al gestor de sistemas systemd. La vulnerabilidad en el n\u00facleo (CVE-2021-33909) permite a un usuario local ejecutar c\u00f3digo con privilegios de root a trav\u00e9s de manipulaciones en directorios con un alto nivel de anidamiento. <\/p>\n
El peligro de la vulnerabilidad se agrava por el hecho de que los investigadores han conseguido preparar exploits funcionales que funcionan en Ubuntu 20.04\/20.10\/21.04, Debian 11 y Fedora 34 en la configuraci\u00f3n por defecto. Se se\u00f1ala que otras distribuciones no han sido verificadas, pero te\u00f3ricamente tambi\u00e9n podr\u00edan estar afectadas y ser atacadas. Se promete publicar el c\u00f3digo completo de los exploits despu\u00e9s de que se resuelva el problema de manera generalizada, mientras que solo est\u00e1 disponible un prototipo limitado en funcionalidad que provoca el colapso del sistema. El problema ha estado presente desde julio de 2014 y afecta a las versiones del n\u00facleo a partir de la 3.16. La correcci\u00f3n de la vulnerabilidad fue coordinada con la comunidad y aceptada en el n\u00facleo el 19 de julio. Las principales distribuciones ya han creado actualizaciones de paquetes con el n\u00facleo (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
La vulnerabilidad se debe a la falta de verificaci\u00f3n del resultado de la conversi\u00f3n de tipo size_t a int antes de realizar operaciones en el c\u00f3digo seq_file, que crea archivos a partir de una secuencia de registros. La falta de verificaci\u00f3n puede llevar a la escritura en un \u00e1rea fuera de los l\u00edmites del b\u00fafer al crear, montar y eliminar estructuras de directorios con un nivel de anidamiento muy alto (ruta de m\u00e1s de 1 GB). Como resultado, un atacante puede lograr escribir una cadena de 10 bytes \u00ab\/\/deleted\u00bb con un desplazamiento \u00ab- 2 GB \u2014 10 bytes\u00bb, apuntando a un \u00e1rea que precede inmediatamente al b\u00fafer asignado. <\/p>\n
El exploit preparado requiere 5 GB de memoria y 1 mill\u00f3n de inodes libres. La operaci\u00f3n del exploit se reduce a crear, mediante la llamada mkdir(), una jerarqu\u00eda de alrededor de un mill\u00f3n de directorios anidados para alcanzar un tama\u00f1o de ruta de archivo que supere 1 GB. Este directorio se monta a trav\u00e9s de bind-mount en un espacio de nombres separado de identificadores de usuarios (user namespace), tras lo cual se inicia la funci\u00f3n rmdir() para su eliminaci\u00f3n. Paralelamente, se crea un hilo que carga un peque\u00f1o programa eBPF, que se bloquea en la etapa posterior a la verificaci\u00f3n del pseudoc\u00f3digo eBPF, pero antes de su JIT-compilaci\u00f3n. <\/p>\n
En un espacio de nombres de identificadores de usuarios no privilegiado, se abre el archivo \/proc\/self\/mountinfo y se comienza a leer una larga ruta del directorio montada mediante bind-mount, lo que provoca la escritura de la cadena \u00ab\/\/deleted\u00bb en un \u00e1rea anterior al comienzo del b\u00fafer. La posici\u00f3n para escribir la cadena se elige de tal manera que sobrescribe una instrucci\u00f3n en un programa eBPF ya validado, pero a\u00fan no compilado. <\/p>\n
A continuaci\u00f3n, a nivel del programa eBPF, una escritura no controlada fuera del b\u00fafer se transforma en una capacidad controlada de lectura y escritura en otras estructuras del kernel mediante la manipulaci\u00f3n de las estructuras btf y map_push_elem. Como resultado, el exploit determina la ubicaci\u00f3n del b\u00fafer modprobe_path[] en la memoria del kernel y sobrescribe en \u00e9l la ruta \u00ab\/sbin\/modprobe\u00bb, lo que permite iniciar la ejecuci\u00f3n de cualquier archivo ejecutable con privilegios de root en caso de que se realice una llamada a request_module(), que se ejecuta, por ejemplo, al crear un socket netlink. <\/p>\n
Los investigadores presentan varios m\u00e9todos de contorno de seguridad que son eficaces solo para exploits espec\u00edficos, pero no resuelven el problema en s\u00ed. Se recomienda establecer el par\u00e1metro \u00ab\/proc\/sys\/kernel\/unprivileged_userns_clone\u00bb en 0 para prohibir el montaje de directorios en un espacio de nombres de identificadores de usuarios separado, as\u00ed como \u00ab\/proc\/sys\/kernel\/unprivileged_bpf_disabled\u00bb en 1 para prohibir la carga de programas eBPF en el kernel.