Viga Linuxi tuumas, mis mõjutab CAN BCM võrgu protokolli.

Linuxi tuumas leiti haavatavus (CVE-2021-3609), mis võimaldab kohalikul kasutajal oma õigusi süsteemis tõsta. Probleem on tingitud võistlusolukorrast CAN BCM protokolli rakenduses ja see avaldub Linuxi tuumade versioonides 2.6.25 kuni 5.13-rc6. Probleem on jaotustes endiselt parandamata (RHEL, Fedora, Debian, Ubuntu, SUSE, Arch).

Haavatavuse avastanud teadlane suutis valmistada ette eksploiti root-õiguste saamiseks Linuxi tuumadega süsteemides, mille versioon on 5.4 ja uuem, sealhulgas on näidatud võimalust edukaks rünnakuks Ubuntu 20.04.02 LTS. Ei saa välistada eksploidi ümbertegemise võimalust ka vanemate tuumade jaoks (tuumas 5.4 on CAN BCM kood (net/can/bcm.c) muudetud hrtimer_tasklet'ilt HRTIMER_MODE_SOFT'ile).

CAN BCM protokoll võimaldab registreerida oma teate töötleja, mis saab teateid CAN (controller area network) bussist, ja siduda selle konkreetse võrgu soketiga. Sissetuleva sõnumi saabudes kutsutakse funktsioon bcm_rx_handler(). Ründaja võib kasutada võistlusolukorda ja saavutada võrgu soketi sulgemise samal ajal bcm_rx_handler() täitmisega. Soketi sulgemisel kutsutakse esile funktsioon bcm_release(), kus vabastatakse mälu, mis on eraldatud bcm_op ja bcm_sock struktuuride jaoks, mida kasutatakse endiselt aktiivses bcm_rx_handler() töötlejas. Tekib olukord, mis viib juba vabastatud mäluploki juurde (use-after-free).

Rünnak seisneb kahe CAN BCM soketi avamises ja nende sidumises vcan liidesega. Esimeses soketis tehakse sendmsg() kutsumine RX_SETUP lipuga, et seadistada sissetulevate CAN sõnumite töötlejat, ja teises soketis tehakse sendmsg() kutsumine, et saata sõnum esimesse soketisse. Pärast sõnumi saamist kutsub bcm_rx_handler() välja, samas kui ründaja valib õige hetke ja sulgeb esimese soketi, mis viib bcm_release() käivitamiseni ja bcm_op ja bcm_sock struktuuride vabastamiseni, kuigi bcm_rx_handler() töö ei ole veel lõppenud.

Manipuleerides bcm_sock sisu kaudu, saab ründaja ümber kirjutada sk->sk_data_ready(sk) funktsiooni näitajat, suunata täitmise muudesse kohtadesse ning kasutada tagasipöörduva programmeerimise tehnikat (ROP – Return-Oriented Programming), et ümber kirjutada modprobe_path parameeter ja saavutada oma koodi täitmine root õigustes. ROP tehnikat kasutades ei püüa ründaja oma koodi mälu paigutada, vaid opereerib juba olemasolevate masinakeele käsudega, mis on laaditud raamatukogudesse ja lõppevad juhtimise tagastamise käsuga (üldjuhul on need raamatukogude funktsioonide lõpppunktid). Eksploitatsiooni töö seisneb selliste plokkide (“gadgetide”) järjestamise loomises vajalikku funktsionaalsuse saavutamiseks.

Rünnaku jaoks on vajalik juurdepääs CAN sokkide loomisele ja seadistatud vcan võrguliides. Rünnakuks vajalikud õigused võivad olla saadud mitteprivilegiseeritud kasutajale konteinerites, mis on loodud süsteemides, kus on aktiveeritud kasutaja identifikaatori nimespaced (user namespaces) tugi. Näiteks on Ubuntu ja Fedora vaikimisi lülitatud kasutaja nimespaced, kuid Debianis ja RHEL-is pole see aktiveeritud.

Allikas: opennet.ru