Turvavead eBPF alamsüsteemis, mis võimaldavad käitada koodi Linuxi tuumas

Avastatud on kaks uut haavatavust eBPF-süsteemis, mis võimaldab käivitada töötlejaid Linuxi tuumas spetsiaalses virtuaalmasinas JIT-režiimis. Mõlemad haavatavused võimaldavad täita oma koodi tuumapoolsete õigustega, väljaspool isoleeritud eBPF-virtuaalmasinat. Probleemide kohta avaldas teabe Zero Day Initiative, kes korraldab Pwn2Own võistlusi, kus sel aastal demonstreeriti kolme rünnakut Ubuntu Linuxile, kus kasutati varem teadmata haavatavusi (kas eBPF haavatavused võivad olla seotud nende rünnakutega, ei öelda).

• CVE-2021-3490 — haavatavus on tingitud 32-bitiste väärtuste piire ületava kontrolli puudumisest, kui teostatakse bititehteid AND, OR ja XOR eBPF ALU32-s. Ründaja saab seda viga ära kasutada, et lugeda ja kirjutada andmeid väljaspool eraldatud puhversettide piire. XOR operatsiooni probleem ilmneb alates tuuma versioonist 5.7-rc1, AND ja OR aga alates väljaandest 5.10-rc1.
• CVE-2021-3489 — haavatavus on tingitud ringpuhverduse rakendusveast ja on seotud sellega, et funktsioon bpf_ringbuf_reserve ei kontrollinud, kas eraldatud mälu suurus võiks olla väiksem kui tegelik ringpuhvri ringbuf suurus. Probleem ilmneb alates väljaandest 5.8-rc1.

Haavatavuste paranduste staatust jaotustes saab jälgida järgmistes lehtedes: Ubuntu, Debian, RHEL, Fedora, SUSE, Arch). Parandused on samuti saadaval plaastritena (CVE-2021-3489, CVE-2021-3490). Probleemi ära kasutamise võimalus sõltub kasutaja juurdepääsust eBPF süsteemikutsumisele. Näiteks vaikeseades RHEL-is on haavatavuse ära kasutamiseks vajalik kasutaja omada CAP_SYS_ADMIN õigusi.

Eriliselt tasub tähele panna veel üht Linuxi tuuma haavatavust — CVE-2021-32606, mis võimaldab kohalikel kasutajatel tõsta oma õigusi root-tasemele. Probleem ilmneb alates Linuxi tuumast 5.11 ja on tingitud võistlushäiretest CAN ISOTP protokolli rakendamisel, mis võimaldab muuta socket'ile sidumise parameetreid, kuna isotp_setsockopt() funktsioonis ei ole korralikke lukustusi kehtestatud CAN_ISOTP_SF_BROADCAST lipu töötlemisel.

Pärast ISOTP socket'i sulgemist jääb sidumine saajaga socket'iga aktiivseks, mis võib jätkata sidumisel põhinevate struktuuride kasutamist pärast seotud mälu vabastamist (use-after-free, kuna isotp_rcv() kutse teeb juba vabastatud isotp_sock struktuurile). Andmete manipuleerimise abil on võimalik üle kirjutada sk_error_report() funktsiooni osutaja ja execute oma koodi tuuma tasemel.

Allikas: opennet.ru