Linuxi tuuma haavatavused, mida saab kaugelt kasutada Bluetoothi kaudu

Linuxi tuumas on tuvastatud haavatavus (CVE-2022-42896), mida saab potentsiaalselt kasutada kaugelt koodi käivitamiseks tuuma tasemel, saates spetsiaalselt koostatud L2CAP-paketti Bluetoothi kaudu. Lisaks on tuvastatud veel üks sarnane probleem (CVE-2022-42895) L2CAP töötlejas, mis võib viia tuuma mälu sisu leket konfigureerimisandmete paketides. Esimene haavatavus ilmneb alates augustist 2014 (tuum 3.16) ja teine alates oktoobrist 2011 (tuum 3.0). Haavatavused on kõrvaldatud Linuxi tuuma versioonides 6.1.0, 6.0.8, 4.9.333, 4.14.299, 4.19.265, 5.4.224, 5.10.154 ja 5.15.78. Veaparanduste jälgimiseks jaotustes saate külastada järgmisi lehti: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

Kaugrünnaku võimaluse demonstreerimiseks on avaldatud prototüübid eksploitidest, mis töötavad Ubuntu 22.04-s. Rünnaku läbiviimiseks peab ründaja olema Bluetoothi ulatuses — eelnevat sidumist pole vajalik, kuid arvutis peab olema aktiveeritud Bluetooth. Rünnakuks piisab, kui teada ohvri seadme MAC-aadressi, mille saab tuvastada sniffimise teel või mõnede seadmete puhul arvutada Wi-Fi MAC-aadressist.

Esimene haavatavus (CVE-2022-42896) on põhjustatud juba vabastatud mälu piirkonna (use-after-free) käsitlemisest l2cap_connect ja l2cap_le_connect_req funktsioonide rakenduses — pärast kanali loomist callback-kõne new_connection kaudu ei olnud sellele lukku seatud, kuid seadistati taimer (__set_chan_timer), mille üleminekuga ajakava kutsub esile l2cap_chan_timeout funktsiooni ja puhastab kanali, kontrollimata kanali töö lõpetamise protsesside lõpus l2cap_le_connect*.

Vaikimisi on taimeri aegumine 40 sekundit ja arvati, et sellise viivitusega ei saa olla võistluse seisundit, kuid selgus, et teise vea tõttu SMP töötlejas on võimalik taimer kohe kutsuda ja saavutada võistluse seisund. Probleem l2cap_le_connect_req-s võib viia tuuma mälu leketeni, samas kui l2cap_connect võib kirjutada mälu sisu üle ja täita oma koodi. Esimene ründe variant saab teostada Bluetooth LE 4.0 (alates 2009. aastast) kasutamisega, teine aga Bluetooth BR/EDR 5.2 (alates 2020. aastast) kasutamisega.

Teine haavatavus (CVE-2022-42895) on põhjustatud jääkandmete leklest mälus funktsioonis l2cap_parse_conf_req, mida saab kasutada kaugelt tuvastamiseks, et saada teavet tuuma struktuuride kohta, saates spetsiaalselt koostatud konfigureerimis　　　　päringud. Funktsioonis l2cap_parse_conf_req kasutati struktuuri l2cap_conf_efs, mille jaoks ei olnud ette nähtud eelnevat mälude järjekorra initsialiseerimist, ning flaga FLAG_EFS_ENABLE manipuleerimisega oli võimalik saavutada, et vanad andmed kuhjati paketti. Probleem ilmneb ainult süsteemides, kus tuum on kompileeritud valikuga CONFIG_BT_HS (vaikimisi on see keelatud, kuid aktiveeritud mõnedes jaotustes, nagu näiteks Ubuntu). Edukaks rünnakuks on samuti vajalik HCI_HS_ENABLED parameetri seadmine juhtimise liidese kaudu väärtusele true (vaikimisi ei kasutata).

Allikas: opennet.ru