Qualys'i turbeuuringute spetsialistid avaldasid \u00fcksikasju kahe haavatavuse kohta, mis m\u00f5jutavad Linuxi tuuma ja s\u00fcsteemi haldurit systemd. Tuuma haavatavus (CVE-2021-33909) v\u00f5imaldab kohalikel kasutajatel saavutada root-\u00f5igustega koodi t\u00e4itmine, manipuleerides s\u00fcgavate kaustadega. <\/p>\n
Haavatavuse ohtu s\u00fcvendab see, et teadlastel \u00f5nnestus luua t\u00f6\u00f6tavad eksploidid, mis toimivad Ubuntu 20.04\/20.10\/21.04, Debian 11 ja Fedora 34 vaikeseadistuste puhul. M\u00e4rgitakse, et teisi jaotusi ei kontrollitud, kuid neid v\u00f5ib teoreetiliselt samuti r\u00fcnnata. T\u00e4ielik eksploidide kood lubatakse avaldada p\u00e4rast probleemi laialdast k\u00f5rvaldamist, kuid praegu on saadaval ainult piiratud funktsionaalsusega protot\u00fc\u00fcp, mis p\u00f5hjustab s\u00fcsteemi krahhi. Probleem on esinenud alates juulist 2014 ja m\u00f5jutab tuuma versioone alates 3.16. Haavatavuse parandus koosk\u00f5lastati kogukonnaga ja see v\u00f5eti tuuma koosseisu 19. juulil. Peamised jaotused on juba vormindanud tuumapakettide uuendused (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Haavatavus on p\u00f5hjustatud type size_t konverteerimise tulemuse kontrollimise puudumisest enne seq_file koodi toimingute sooritamist, mis loob faile kirjej\u00e4rjestusest. Kontrollimise puudumine v\u00f5ib viia bufferi piiridest v\u00e4ljapoole kirjutamiseni, kui luuakse, monteeritakse ja kustutatakse kaustastruktuure, mille s\u00fcgavate pesa tasemete arv on v\u00e4ga suur (teepikkus \u00fcle 1 GB). Selle tulemusel v\u00f5ib r\u00fcndaja saavutada 10-baidise rea '\/\/*deleted*' kirjutamise nihkega '\u2212 2 GB \u2212 10 byte', mis osutab vahemikule, mis vahetult eelneb eraldatud bufferile. <\/p>\n
Ettevalmistatud eksploit vajab t\u00f6\u00f6ks 5 GB m\u00e4lu ja 1 miljon vaba inode'i. Eksploidiga t\u00f6\u00f6tamine seisneb hierarhia loomises umbes miljoni sisemise kausta abil, et saavutada failitee suurus, mis \u00fcletab 1 GB. See kaust monteeritakse l\u00e4bi bind-mount'i eraldi kasutajate tunne (user namespace) ja seej\u00e4rel k\u00e4ivitatakse funktsioon rmdir() selle kustutamiseks. Samal ajal luuakse voog, mis laadib v\u00e4ikese eBPF programmi, mis takerdub p\u00e4rast eBPF pseudokoodi kontrollimist, kuid enne JIT kompileerimist. <\/p>\n
Privileegita kasutajaidentifikaatoride nimede ruumis avatakse fail \/proc\/self\/mountinfo ja alustatakse pika teekonna lugemist kaustale, mis on liidetud bind-mount'i abil, mis toob kaasa rea '\/\/*deleted*' kirjutamise piirkonda, mis asub bufferi algusest ette. Rea kirjutamise positsioon valitakse nii, et see \u00fcletab juba kontrollitud, kuid mitte veel kompileeritud eBPF programmi juhise. <\/p>\n
Edasi eBPF programmi tasandil muutub kontrollimata bufferist v\u00e4ljas kirjutamine kontrollitavaks lugemis- ja kirjutamisv\u00f5imaluseks teistele tuuma struktuuridele, manipuleerides btf ja map_push_elem struktuuridega. L\u00f5puks m\u00e4\u00e4rab exploit modprobe_path[] bufferi asukoha tuuma m\u00e4lus ja kirjutab sinna ' \/sbin\/modprobe' tee, mis v\u00f5imaldab k\u00e4ivitada mis tahes t\u00f6\u00f6tavat faili root \u00f5igustega, kui kutsuda \u00fcles request_module(), mis toimub n\u00e4iteks netlink sokli loomisel. <\/p>\n
Uurijad toovad v\u00e4lja mitu kaitsemeetodit, mis on efektiivsed ainult konkreetse eksploitatsiooni vastu, kuid ei lahenda probleemi ennast. Soovitatakse seada parameeter '\/proc\/sys\/kernel\/unprivileged_userns_clone' v\u00e4\u00e4rtusele 0, et keelata kaustade monteerimine eraldi kasutajaidentifikaatorite nimede ruumis, samuti '\/proc\/sys\/kernel\/unprivileged_bpf_disabled' v\u00e4\u00e4rtusele 1, et keelata eBPF programmide laadimine tuuma.