Linuxi tuumas avastatud haavatavused, mis võimaldavad privileegide tõstmist läbi nf_tables ja ksmbd

Netfilteris, Linuxi tuuma alamsüsteem, mida kasutatakse võrgupakettide filtreerimiseks ja muutmiseks, on tuvastatud haavatavus (CVE-2024-1086), mis võimaldab kohalikel kasutajatel käivitada tuuma tasemel koodi ja tõsta oma õigusi süsteemis. Probleem tuleneb mäluhalduse topelt vabastamisest (double-free) nf_tables moodulis, mis toetab nftables paketifiltrit. Haavatavuse avastanud turvauurija on välja töötanud ja avaldanud tööprototüübi eksploitist.

Eksploidi töö on demonstreeritud uusimates Debian ja Ubuntu väljaannetes, mille Linuxi tuumad on vahemikus 5.14 kuni 6.6, samuti KernelCTF (Capture the Flag) keskkonnas, mis sisaldab täiendavaid patše, et blokeerida tüüpilisi eksploidi töömeetodeid ja mida Google kasutab haavatavuste otsimise preemiate programmides. Eksploidi tõhususe määr on hinnanguliselt 99.4%. Saatekavas käsitletakse üksikasjalikult keeruka mitmetasandilise eksploidi loomise protsessi ning tuumas olemasolevate kaitse- ja vastumeetmete ületamist.

Probleem on seotud veaga funktsioonis nft_verdict_init(), mis lubab positiivsete väärtuste kasutamise pakettide allakriipsumise (DROP) veakoodina hook'ides, mis võib võimaldada mäluhaldusfunktsioonis nf_hook_slow() korduvat mäluhaldust juba vabastatud pufferi jaoks. Probleem ilmneb, kui NF_DROP operatsioon genereeritakse veaga ja tuum tõlgendab esmalt NF_DROP'i, kuid seejärel vabastab pufferi ja tagastab oleku NF_ACCEPT. See olukord viib selleni, et kuigi pakettidega seotud puffer vabastatakse, ei lõpetata selle töötlemist, vaid see edastatakse teisele töötlejale, kes omakorda kutsub mäluhaldusfunktsiooni teist korda.

Haavatavus ilmneb alates Linuxi tuuma versioonist 3.15, kuid eksploit töötab tuumadega alates versioonist 5.14. Haavatavuse parandamine on ette nähtud Linuxi tuuma väljaandes 6.8-rc1 ja see viidi veebruari lõpus stabiliseeritud okstesse 5.15.149, 6.1.76 ja 6.6.15. Jaotustes saab haavatavuse parandamise kohta jälgida järgmiste lehtede kaudu: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

Lisaks võib märkida sarja haavatavusi ksmbd moodulis, mis pakub Linuxi tuuma sisseehitatud failiteenuse implementatsiooni. serverilt SMB protokoli põhjal: haavatavus CVE-2024-26592 võimaldab kaugelt, ilma autentimiseta, täita oma koodi kernelitasandi õigustega süsteemides, kus on aktiveeritud ksmbd moodul. Probleem on põhjustatud race condition'ist TCP-ühenduse töötlemise koodis, mis tekib seetõttu, et objekti töötlemisel ei ole õiged lukud seadistatud.

Haavatavus CVE-2023-52440 võimaldab samuti kaugelt täita oma koodi kernelitasandi õigustega, kuid on põhjustatud puhverülevoolust, kui töödeldakse vale sessioonivõtmeid, kuna ei ole piisavalt kontrollitud kasutajalt saadud andmete suurust enne, kui need kopeeritakse fikseeritud suurusega puhvri.

Haavatavused (1, 2, 3) CVE-2024-26594, CVE-2023-52442 ja CVE-2023-52441 ksmbd-s võimaldavad eemalt, ilma autentimiseta, määrata kernelimälu sisu. Haavatavus CVE-2024-26594 on põhjustatud vale andmete kontrollimisest, kui töödeldakse saabunud SMB2 Mechi tokene, mis toob kaasa andmete tagastamise puhvri piiridest välja. Haavatavus CVE-2023-52442 on põhjustatud piisava sisendi kontrollimise puudumisest seotud (chained) päringute töötlemisel. Haavatavus CVE-2023-52441 on põhjustatud vajaliku sisendi kontrollimise puudumisest SMB2 ühenduse kokkuleppe päringute töötlemisel.

Haavatavused CVE-2024-26594 ja CVE-2024-26592 on kõrvaldatud kernelis 6.8 ja varasemate stabiilsete harude 6.1.75, 6.6.14, 6.7.2 parandavates värskendustes. Ülejäänud haavatavused on kõrvaldatud kernelis 6.5 ja värskendustes 5.15.145, 6.1.53, 6.4.16.

Kokkuvõttes tasub mainida, et on aktiveeritud uue Linuxi tuuma arendustiimi töö, mille eesmärk on analüüsida haavatavuste olemasolu ja hinnata tuuma paranduste seost turvaprobleemidega. Februaris lõid tuuma arendajad oma CNA (CVE Numbering Authority) teenuse, mis sai volitused iseseisvaks CVE-identifikaatorite määramiseks haavatavustele. Varem lasus CVE määramine ja paranduste seose analüüs võimalike haavatavustega jaotuste arendajate õlgadel ning tuumas ei paistnud potentsiaalsed haavatavused silma, vaid figureerisid tavaliste paranduste seas. Uue teenuse töö tulemused on ületanud kõik ootused — igapäevaselt tuvastatakse tuumas paarikümne uue haavatavuse olemasolu, mida varem ei olnud tähistatud kui turvaprobleeme. Näiteks 26. märtsil määrati 14 haavatavusele uued CVE-identifikaatorid, mida varem ei peetud turvaprobleemideks, ja 25. märtsil — 41 haavatavusele.

Allikas: opennet.ru