{"id":107498,"date":"2023-03-24T12:48:20","date_gmt":"2023-03-24T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=107498"},"modified":"2023-03-24T20:21:30","modified_gmt":"2023-03-24T18:21:30","slug":"uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","title":{"rendered":"Vulnerabilidad en OverlayFS que permite elevar privilegios","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha detectado una vulnerabilidad en el n\u00facleo de Linux en la implementaci\u00f3n del sistema de archivos OverlayFS (CVE-2023-0386), que puede ser utilizada para obtener acceso root en sistemas donde est\u00e1 instalada la subestructura FUSE y se permite el montaje de particiones OverlayFS por un usuario no privilegiado (desde el n\u00facleo de Linux 5.11 con el uso de espacios de nombres de usuario no privilegiados). El problema se ha solucionado en la rama del n\u00facleo 6.2. Las publicaciones de actualizaciones de paquetes en las distribuciones se pueden seguir en las p\u00e1ginas: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch. <\/p>\n
El ataque se lleva a cabo mediante la copia de archivos con las banderas setgid\/setuid desde un sistema de archivos montado en modo nosuid a un sistema OverlayFS, que tiene una capa vinculada a una partici\u00f3n que permite la ejecuci\u00f3n de archivos suid. La vulnerabilidad es similar al problema CVE-2021-3847, identificado en 2021, pero presenta requisitos de explotaci\u00f3n m\u00e1s bajos; en el antiguo problema se requer\u00edan manipulaciones de xattrs, que est\u00e1n limitadas al utilizar espacios de nombres de identificadores de usuario (user namespace), mientras que en el nuevo problema se utilizan bits setgid\/setuid, que no son tratados espec\u00edficamente en el user namespace. <\/p>\n
El algoritmo para llevar a cabo el ataque: <\/p>\n
\n
A trav\u00e9s del subsistema FUSE, se monta un sistema de archivos que contiene un archivo ejecutable perteneciente al usuario root con banderas setuid\/setgid, accesible a todos los usuarios para escritura. Al montar, FUSE establece el modo \"nosuid\".\n
Se cancelan (unshare) los espacios de nombres de usuarios y puntos de montaje (user\/mount namespace).\n
Se monta OverlayFS especificando el sistema de archivos previamente creado en FUSE como la capa inferior y una capa superior basada en un directorio que permite la escritura. El directorio de la capa superior debe residir en un sistema de archivos que al montarse no utilice la bandera \"nosuid\".\n
Se cambia el tiempo de modificaci\u00f3n para el archivo suid en la partici\u00f3n FUSE utilizando la utilidad touch, lo que resulta en su copia en la capa superior de OverlayFS.\n
Al copiar, el n\u00facleo no elimina los flags setgid\/setuid, lo que provoca que el archivo aparezca en una partici\u00f3n que permite el procesamiento de setgid\/setuid.\n
Para obtener derechos de root, basta con ejecutar el archivo con flags setgid\/setuid desde el directorio vinculado a la capa superior de OverlayFS. <\/ul>\n
Adem\u00e1s, se puede mencionar que los investigadores del equipo de Google Project Zero han revelado informaci\u00f3n sobre tres vulnerabilidades que fueron corregidas en la rama principal del n\u00facleo Linux 5.15, pero que no fueron trasladadas a los paquetes del n\u00facleo de RHEL 8.x\/9.x y CentOS Stream 9. <\/p>\n
\n
CVE-2023-1252: acceso a una regi\u00f3n de memoria ya liberada en la estructura ovl_aio_req al realizar m\u00faltiples operaciones simult\u00e1neas en OverlayFS, desplegado sobre un sistema de archivos Ext4. Potencialmente, la vulnerabilidad permite elevar los privilegios en el sistema.\n
CVE-2023-0590: acceso a una regi\u00f3n de memoria ya liberada en la funci\u00f3n qdisc_graft(). Se supone que la explotaci\u00f3n se limita a un cierre inesperado.\n
CVE-2023-1249: acceso a una regi\u00f3n de memoria ya liberada en el c\u00f3digo de grabaci\u00f3n de coredump, debido a una llamada de mmap_lock omitida en file_files_note. Se supone que la explotaci\u00f3n se limita a un cierre inesperado. <\/ul>\n