Turvauurijad ettev\u00f5ttest Qualys avalikustasid kahe haavatavuse \u00fcksikasjad, mis m\u00f5jutavad Linuxi tuuma ja s\u00fcsteemihaldurit systemd. Tuuma haavatavus (CVE-2021-33909) v\u00f5imaldab kohalikul kasutajal saada root-\u00f5igustes koodi k\u00e4ivitamise v\u00f5imaluse, manipuleerides s\u00fcgavalt pesastatud kataloogidega. <\/p>\n
Haavatavuse ohtlikkust suurendab asjaolu, et uurijatel \u00f5nnestus valmistada ette toimivad exploit'id, mis t\u00f6\u00f6tavad Ubuntu 20.04\/20.10\/21.04, Debian 11 ja Fedora 34 vaikekonfiguratsioonis. M\u00e4rgitakse, et teisi distributsioone ei ole kontrollitud, kuid teoreetiliselt v\u00f5ivad ka need olla probleemist m\u00f5jutatud ja r\u00fcnnatavad. Exploit'ide t\u00e4ielik kood lubatakse avaldada p\u00e4rast probleemi laialdast k\u00f5rvaldamist, kuid praegu on saadaval vaid piiratud funktsionaalsusega protot\u00fc\u00fcp, mis p\u00f5hjustab s\u00fcsteemi krahhi. Probleem avaldub alates 2014. aasta juulist ja m\u00f5jutab tuuma versioone alates 3.16-st. Haavatavuse parandamine koordineeriti kogukonnaga ning lisati tuuma koosseisu 19. juulil. Peamised distributsioonid on juba koostanud uuendatud kernelipaketid (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Haavatavus tuleneb size_t t\u00fc\u00fcbist int-ks \u00fcmbermuutmise tulemuse kontrollimise puudumisest seq_file koodis, mis loob faile rekordite j\u00e4rjestikustest. Kontrolli puudumine v\u00f5ib viia m\u00e4lu piire \u00fcletava salvestuseni v\u00e4ga s\u00fcgava kataloogistruktuuri loomisel, montaa\u017eimisel ja kustutamisel (tee pikkus \u00fcle 1 GB). Selle tulemusena v\u00f5ib r\u00fcndaja saavutada 10-baidise stringi \u201e\/\/deleted\u201c salvestamise nihkega \u201e- 2 GB \u2014 10 bitti\u201c, mis osutab vahemikule, mis vahetult eelneb eraldatud m\u00e4lule. <\/p>\n
Ettevalmistatud exploit vajab t\u00f6\u00f6tamiseks 5 GB m\u00e4lu ja 1 miljonit vaba inode'i. Exploit'i t\u00f6\u00f6 seisneb umbes miljonist pesastatud kataloogist koosneva hierarhia loomises mkdir() v\u00e4ljakutse abil, et saavutada failitee pikkus \u00fcle 1 GB. See kataloog \u00fchendatakse bind-mount abil eraldi kasutajatunnuste nimeruumi (user namespace), mille j\u00e4rel k\u00e4ivitatakse selle eemaldamiseks funktsioon rmdir(). Paralleelselt luuakse l\u00f5im, mis laadib v\u00e4ikese eBPF-programmi ja blokeerub etapis p\u00e4rast eBPF-i pseudokoodi kontrolli, kuid enne selle JIT-kompileerimist. <\/p>\n
Mitteprivileegitud kasutaja ID ruumis avatakse fail \/proc\/self\/mountinfo ja algab pika tee lugemine kataloogist, mis on montaa\u017eitud bind-mount'i kaudu, mis viib stringi \u201e\/\/deleted\u201c salvestamiseni vahemiku algusesse. Salvestava stringi asukoht valitakse niimoodi, et see kirjutab \u00fcle k\u00e4su juba kontrollitud, kuid veel mitte kompileeritud eBPF-programmis. <\/p>\n
Edasi liikudes eBPF programmitasandil muudetakse kontrollimata salvestus v\u00e4ljaspool m\u00e4lupiire hallatavaks lugemis- ja kirjutamisv\u00f5imaluseks teistesse tuumstruktuuridesse btf ja map_push_elem struktuuride kaudu manipuleerimise teel. L\u00f5puks m\u00e4\u00e4rab eksploit bufferi modprobe_path[] asukoha tuumas ning kirjutab sinna tee \u201e\/sbin\/modprobe\u201c, mis v\u00f5imaldab k\u00e4ivitada mis tahes t\u00e4idetavat faili juur\u00f5igustega soovi korral request_module() kutse tegemise puhul, mis toimub n\u00e4iteks netlink-soketi loomisel. <\/p>\n
Uurijad toovad v\u00e4lja mitmeid kaitsetehnikaid, mis on t\u00f5husad ainult konkreetse eksploidiga, kuid ei k\u00f5rvalda probleemi ennast. Soovitav on seadistada parameeter \u201e\/proc\/sys\/kernel\/unprivileged_userns_clone\u201c v\u00e4\u00e4rtusele 0, et keelata kataloogide montaa\u017e eraldi kasutaja ID ruumis, samuti \u201e\/proc\/sys\/kernel\/unprivileged_bpf_disabled\u201c v\u00e4\u00e4rtusele 1 eBPF programmide laadimise keelamiseks tuumas.