Vulnérabilités dans le module ksmbd du noyau Linux, permettant l'exécution à distance de son propre code

Dans le module ksmbd, qui offre une implémentation intégrée du serveur de fichiers basée sur le protocole SMB dans le noyau Linux, 14 vulnérabilités ont été découvertes, dont quatre permettent d'exécuter à distance son propre code avec des privilèges du noyau. L'attaque peut être menée sans authentification, il suffit que le module ksmbd soit activé sur le système. Les problèmes apparaissent à partir du noyau 5.15, qui a incorporé le module ksmbd. Les vulnérabilités ont été corrigées dans les mises à jour des noyaux 6.3.2, 6.2.15, 6.1.28 et 5.15.112. Vous pouvez suivre les corrections dans les distributions sur les pages suivantes : Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Gentoo, Arch.

Problèmes identifiés :

• CVE-2023-32254, CVE-2023-32250, CVE-2023-32257, CVE-2023-32258 — exécution à distance de code avec des privilèges du noyau en raison de l'absence de verrous appropriés sur les objets lors du traitement de requêtes externes contenant des commandes SMB2_TREE_DISCONNECT, SMB2_SESSION_SETUP, SMB2_LOGOFF et SMB2_CLOSE, ce qui entraîne un état de concurrence exploitable. L'attaque peut être réalisée sans authentification.
• CVE-2023-32256 — fuite de contenu des zones de mémoire du noyau en raison d'un état de concurrence lors du traitement des commandes SMB2_QUERY_INFO et SMB2_LOGOFF. L'attaque peut être menée sans authentification.
• CVE-2023-32252, CVE-2023-32248 — déni de service à distance dû à la déréférenciation d'un pointeur nul lors du traitement des commandes SMB2_LOGOFF, SMB2_TREE_CONNECT et SMB2_QUERY_INFO. L'attaque peut être réalisée sans authentification.
• CVE-2023-32249 — possibilité d'interception de session avec un utilisateur en raison de l'absence d'une isolation appropriée lors du traitement de l'identifiant de session en mode multipath.
• CVE-2023-32247, CVE-2023-32255 — déni de service en raison de fuite de mémoire lors du traitement de la commande SMB2_SESSION_SETUP. L'attaque peut être réalisée sans authentification.
• CVE-2023-2593 — déni de service dû à l'épuisement de la mémoire disponible, causé par une erreur entraînant le non-retour de mémoire lors du traitement de nouvelles connexions TCP. L'attaque peut être menée sans authentification.
• CVE-2023-32253 — déni de service en raison d'une interblocage lors du traitement de la commande SMB2_SESSION_SETUP. L'attaque peut être réalisée sans authentification.
• CVE-2023-32251 — absence de protection contre les attaques par force brute sur les paramètres d'authentification.
• CVE-2023-32246 — Un utilisateur local du système ayant le droit de décharger le module ksmbd peut obtenir l'exécution de son code au niveau du noyau Linux.

De plus, cinq autres vulnérabilités ont été identifiées dans le paquet ksmbd-tools, qui comprend les utilitaires pour la gestion et le fonctionnement de ksmbd, exécutés dans l'espace utilisateur. Les vulnérabilités les plus critiques (ZDI-CAN-17822, ZDI-CAN-17770, ZDI-CAN-17820, CVE à attribuer) permettent à un attaquant non authentifié à distance d'exécuter son code avec des droits root. Les vulnérabilités sont causées par l'absence de vérification de la taille des données externes reçues avant leur copie dans un tampon dans le code du service WKSSVC et dans les gestionnaires d'opcodes LSARPC_OPNUM_LOOKUP_SID2 et SAMR_OPNUM_QUERY_USER_INFO. Deux autres vulnérabilités (ZDI-CAN-17823, ZDI-CAN-17821) peuvent entraîner un déni de service à distance sans passer par l'authentification.

Ksmbd est présenté comme une extension haute performance prête à l'emploi pour des dispositifs intégrés, intégrant si nécessaire les outils et bibliothèques Samba. Le support du service SMB à l'aide du module ksmbd est présent dans le paquet Samba depuis la version 4.16.0. Contrairement au serveur SMB fonctionnant dans l'espace utilisateur, ksmbd est plus efficace en termes de performances, de consommation mémoire et d'intégration avec des fonctionnalités avancées du noyau. Les auteurs du code ksmbd sont Namjae Jeon de Samsung et Hyunchul Lee de LG, tandis que la maintenance dans le noyau est assurée par Steve French de Microsoft, mainteneur des sous-systèmes CIFS/SMB2/SMB3 dans le noyau Linux et un participant de longue date de l'équipe de développement Samba, ayant apporté une contribution significative à l'implémentation de la prise en charge des protocoles SMB/CIFS dans Samba et Linux.

On peut également noter deux vulnérabilités dans le pilote graphique vmwgfx, utilisé pour l'accélération 3D dans les environnements VMware. La première vulnérabilité (ZDI-CAN-20292) permet à un utilisateur local d'élever ses privilèges dans le système. Cette vulnérabilité est causée par l'absence de vérification de l'état du tampon avant sa libération lors du traitement de l'objet vmw_buffer_object, ce qui peut entraîner un appel double de la fonction free. La deuxième vulnérabilité (ZDI-CAN-20110) entraîne une fuite de contenu de la mémoire du noyau en raison d'erreurs dans la gestion des verrouillages des objets GEM.

Source : opennet.ru