PinTheft — kuues Copy Fail klassi haavatavus, mis annab Linuxis root õigused

Avalikustatud teave kuuenda haavatavuse (1, 2-3, 4, 5) kohta, mis võimaldab mittetäielikul lokaalsel kasutajal saada root õigusi, kirjutades andmeid lehe vahemällu. Haavatavus sai koodnimeks PinTheft. Eksploidiprotekt on saadaval. CVE-koodi ei ole veel määratud. Parandust on seni saadaval ainult patchina, mis avaldati 5. mail ja 11. mail lisati netdev harusse, kuid ei ole veel tuumavärskendustes saadaval.

Haavatavus esineb RDS (Reliable Datagram Sockets) võrguprotokolli teostuses, mis on mõeldud kiireks sõnumivahetamiseks klastris, minimaalsete viivitustega ja garanteeritud kohaletoimetamisega. Rünnak on võimalik süsteemides, kus on sisse lülitatud io_uring alamsüsteem (io_uring_disabled=0) ja tuum on kokku pandud CONFIG_RDS, CONFIG_RDS_TCP ja CONFIG_IO_URING valikute abil. Eksploidiks peab süsteemis olema lugemiseks saadaval SUID-rootiga täidetav fail.

Kerneli mooduli rds_tcp automaatseks laadimiseks nõuab eksploid andmete saatmist RDS kaudu, kasutades transpordiks SO_RDS_TRANSPORT=2. Tõdetakse, et testitud Linuxi distributsioonide seas on vaikeseadistuses kerneli moodul rds saadaval ainult Arch Linuxis. Haavatavuse vältimiseks võib tõrkevaru kaudu keelata rds ja rds_tcp kerneli moodulite automaatlaadimise: rmmod rds_tcp rds printf 'install rds /bin/false\ninstall rds_tcp /bin/false\n' > /etc/modprobe.d/pintheft.conf

Haavatavus on põhjustatud vea tõttu zerocopy mehhanismi teostamisel funktsioonis rds_message_zcopy_from_user(), mis muudab andmeid otse lehe vahemälus, et vältida liigset puhverserverit. Veakohas ei tehtud rm->data.op_nents välja puhastamist, mistõttu tekkis kahe kordne mäluaadressi vabastamine (double-free). Vale väärtuse ilmumine viidatud loenduri puhul saadi ära kasutada lehe vahemälus andmete üle kirjutamiseks, manipuleerides io_uring fikseeritud puhvri näitajaga.

Muud aspektid kasutusehitusest on selles klassis haavatavuste jaoks tüüpilised — ründaja saavutab suid root-faili jõudmise programmi lehe vahemällu, seejärel lisab ELF-pealkirjale koodi käivitamiseks /usr/bin/sh. Pärast seda manipulatsiooni käivitamine programmi toob mällu mitte originaalse, vaid muudetud eksemplari vahemälust. Erinevalt varasematest eksploadidest on uus variant kohandatud ainult „su“ utiliidi ründamiseks, kuid seda võib kasutada ka siis, kui süsteemis on sellised suid-programmid nagu mount, passwd, chsh, newgrp, umount ja pkexec.

Allikas: opennet.ru