Se ha descubierto una quinta vulnerabilidad cr\u00edtica en el n\u00facleo de Linux (1, 2, 3) en las \u00faltimas dos semanas, que permite a un usuario elevar sus privilegios en el sistema. Se han publicado dos exploits funcionales: sshkeysign_pwn permite a un usuario sin privilegios leer el contenido de las claves SSH privadas del host en \/etc\/ssh\/ssh_host_*_key, y chage_pwn \u2014 leer el contenido del archivo \/etc\/shadow con los hash de las contrase\u00f1as de los usuarios. <\/p>\n
La divulgaci\u00f3n de la vulnerabilidad no estaba programada, pero uno de los investigadores de seguridad pudo identificar el problema basado en el parche propuesto para el n\u00facleo, lo que permite leer archivos accesibles solo al usuario root, como \/etc\/shadow. En la modificaci\u00f3n a\u00f1adida al n\u00facleo se ajust\u00f3 la l\u00f3gica de uso de la funci\u00f3n get_dumpable() en ptrace para determinar el nivel de acceso en la funci\u00f3n ptrace_may_access(). <\/p>\n
La vulnerabilidad es causada por una condici\u00f3n de carrera que permite el acceso no privilegiado a un descriptor de archivo pidfd despu\u00e9s de acceder a un archivo del proceso con sudo root. En el momento entre la apertura del archivo y la eliminaci\u00f3n de privilegios en el programa con sudo (por ejemplo, mediante la funci\u00f3n setreuid), se produce una situaci\u00f3n en la que la aplicaci\u00f3n que ejecut\u00f3 el programa con sudo root puede acceder al archivo abierto en el programa con sudo a trav\u00e9s del descriptor pidfd, incluso si los permisos de acceso al archivo no lo permiten. <\/p>\n
La ventana de explotaci\u00f3n se produce porque la funci\u00f3n \u00ab__ptrace_may_access()\u00bb omite la verificaci\u00f3n del acceso al archivo, si el campo task->mm se establece en NULL despu\u00e9s de ejecutar exit_mm(), pero antes de llamar a exit_files(). En este momento, la llamada al sistema pidfd_getfd considera que el identificador de usuario (uid) del proceso que llama corresponde al identificador que tiene permiso para acceder al archivo. Notablemente, el problema ya fue se\u00f1alado en 2020, pero ha permanecido sin soluci\u00f3n. <\/p>\n
En el exploit que obtiene el contenido de \/etc\/shadow, el ataque se reduce a un ciclo repetido mediante el uso de fork+execl de la aplicaci\u00f3n \/usr\/bin\/chage con la bandera suid root, que lee el contenido de \/etc\/shadow. Despu\u00e9s de que el proceso se bifurca, se realiza una llamada al sistema pidfd_open y se lleva a cabo un escaneo c\u00edclico de los descriptores pidfd disponibles a trav\u00e9s de la llamada al sistema pidfd_getfd y su verificaci\u00f3n a trav\u00e9s de \/proc\/self\/fd. En el exploit sshkeysign_pwn, se llevan a cabo manipulaciones similares con el programa ssh-keysign con suid root. <\/p>\n
A\u00fan no se ha asignado un identificador CVE al problema, no se han publicado actualizaciones del n\u00facleo y paquetes en las distribuciones. En los n\u00facleos 7.0.7, 6.18.30 y 6.12.88, publicados hace unas horas, la vulnerabilidad no ha sido corregida. En el momento de redactar esta noticia, solo se puede usar un parche. Se est\u00e1n discutiendo posibles soluciones para bloquear la vulnerabilidad, como establecer sysctl kernel.yama.ptrace_scope=3 o eliminar la bandera suid root de los archivos ejecutables en el sistema (al menos de las utilidades ssh-keysign y chage, utilizadas en los exploits).