eBPF alam süsteemi haavatavused, mis võimaldavad käivitada kood Linuxi tuumas

Avastatud kaks uut haavatavust eBPF-süsteemis, mis võimaldab töötlemisprogramme käitada Linuxi tuumas spetsiaalses virtuaalmasinas JITiga. Mõlemad haavatavused võimaldavad käivitada oma koodi tuumaoigustega, väljaspool isoleeritud virtuaalmasinat eBPF. Probleemide kohta avaldas teavet Zero Day Initiative, kes korraldab Pwn2Own võistlusi, kus sel aastal demonstreeriti kolme rünnakut Ubuntu Linuxile, kasutades varasematalt teadmata haavatavusi (kas eBPF haavatavused on seotud nende rünnakutega, ei ole täpsustatud).

• CVE-2021-3490 — haavatavus tuleneb 32-bitiste väärtuste ületöötluse kontrolli puudumisest AND, OR ja XOR bititehteid teostades eBPF ALU32-s. Ründaja võib seda viga kasutada, et lugeda ja kirjutada andmeid väljaspool eraldatud puhversalvet. XOR-tehte probleem ilmneb alates kärgist 5.7-rc1, AND ja OR alates 5.10-rc1 versioonist.
• CVE-2021-3489 — haavatavus tuleneb ringpuhvri implementatsiooni veast ja on seotud sellega, et funktsioon bpf_ringbuf_reserve ei kontrollinud, kas eraldatud mäluruumi suurus võib olla väiksem kui ringpuhvri tegelik suurus. Probleem ilmneb alates versioonist 5.8-rc1.

Haavatavuste paranduste staatust jaotustes saab jälgida järgmistelt lehtedelt: Ubuntu, Debian, RHEL, Fedora, SUSE, Arch. Parandused on samuti saadaval patchidena (CVE-2021-3489, CVE-2021-3490). Probleemi ärakasutamise võimalus sõltub süsteemi kutsungite eBPF kättesaadavusest kasutajale. Näiteks RHEL-i vaikimisi konfiguratsioonis on haavatavuse ärakasutamiseks vajalik kasutaja õigused CAP_SYS_ADMIN.

Erilist tähelepanu väärib ka üks haavatavus Linuxi tuumas — CVE-2021-32606, mis võimaldab kohalikul kasutajal tõsta oma privileege juurtasemele. Probleem ilmneb alates Linuxi tuumast 5.11 ja tuleneb kihistumisest CAN ISOTP protokolli rakenduses, mis võimaldab muuta pordilukustamise parameetreid, kuna funktsioonis isotp_setsockopt() ei seadistatud sobivaid lukke CAN_ISOTP_SF_BROADCAST lipu töötlemisel.

Pärast ISOTP sokli sulgemist jääb saaja sokli sidumine endiselt toimima, võimaldades sokli struktuuride kasutamist pärast seotud mälu vabastamist (use-after-free, kuna isotp_rcv() kutse toimub juba vabastatud isotp_sock struktuuri üle). Andmete manipuleerimisega saab saavutada näidatud funktsiooni sk_error_report() näitaja üle kirjutamise ja käivitada oma koodi tuumatasemel.

Allikas: opennet.ru