io_uring alamsüsteemi haavatavus, mis võimaldab saada root privileege

Linux'i tuuma pakutavas io_uring asünkroonse sisendi/väljundi liideses on avastatud haavatavus (CVE-2024-0582), mis võimaldab mitteprivilegeeritud kasutajal saada süsteemis root-õigused. Haavatavuse ära kasutamiseks on vajalik vaid tavaline kohalik juurdepääs süsteemile, ilma et oleks vaja manipulatsioone nimede ruumidega. Praegu on avalikult saadaval töötav eksploit ning on üksikasjalikult kirjeldatud ka teine haavatavuse ärakasutamise tehnika.

Haavatavus tuleneb juba vabastatud mäluploki (use-after-free) juurde pääsemisest io_uring alamsüsteemis, mis tekib ringbufferi registreerimise ja vabastamise ajal, kui see on loodud IORING_REGISTER_PBUF_RING lipuga. Kui rakendada mmap() operatsiooni andmemälu suhtes, jääb see pärast vabastamise operatsiooni tegemist (IORING_UNREGISTER_PBUF_RING) kasutaja ruumi kajastatuks. Kasutades seda omadust, suudab ründaja lugeda ja kirjutada andmeid jagatud mälu lehtedele, mis on tuumale tagasi antud.

Probleem tekkis alates Linux'i tuuma versioonist 6.4 ja on lahendatud versioonides 6.7 ja 6.6.5, samuti 6.5.0-21 tuuma paketis, mis on ette valmistatud Ubuntu 22.04 ja 23.10 jaoks. Huvi pärast, 'tuumas' lahendati probleem detsembris 2023, projekti Google Zero kaudu avati 8. jaanuaril häbitõpperaport, mille parandatud 6.5 pakk Ubuntu jaoks koostati alles 22. veebruaril 2024. Muudes jaotustes saab parandamise ja haavatavuse jälgimisega tutvuda lehtedel: Debian, Gentoo, RHEL, SUSE, Fedora, Arch.

Esimene eksploit manipuleerib suure arvu ründaja kontrolli all olevate mälu lehtede loomisega, et määrata tuuma mälu paigutust ja pääseda juurde kõrvalistele füüsilistele mälu lehtedele, kasutades suunamarkeritena teatud viisil täidetud võrgusoklite struktuuride sisu. Eksploidis koodi käivitamiseks kasutatakse 'gadžetti' (olemasolevate tuuma käskude jada), mis toob kaasa call_usermodehelper_exec funktsiooni täitmise, mis on mõeldud protsesside käivitamiseks kasutaja ruumis tuumast.

Teine eksploit põhineb sellel, et kui kõik slab-blokid vahemälu (näiteks faili korduval avamisel) on ammendatud, siis vaba mälu lehed, millele ründaja pääseb juurde, kasutatakse mälujaotuse süsteemi poolt uue slab-bloki loomiseks ja kõik uued failistruktuurid hakkavad selle bloki sisse mahtuma. Seetõttu satuvad mõned failistruktuurid mälu lehtedele, mida ründaja saab lugeda ja kirjutada. Ekspluateerimine seisneb vajaliku faili lisamises failide vahemällu ja sellega seotud failistruktuuris f_mode väljade asendamises, mis määravad juurdepääsuõigused, mis võimaldab muuta vajadusel süsteemifaili, näiteks /etc/passwd, kirjutatavaks.

Allikas: opennet.ru