Des chercheurs en s\u00e9curit\u00e9 de l'entreprise Qualys ont r\u00e9v\u00e9l\u00e9 des d\u00e9tails sur deux vuln\u00e9rabilit\u00e9s affectant le noyau Linux et le gestionnaire de syst\u00e8me systemd. La vuln\u00e9rabilit\u00e9 dans le noyau (CVE-2021-33909) permet \u00e0 un utilisateur local d'ex\u00e9cuter du code avec des droits root en manipulant des r\u00e9pertoires avec une grande profondeur. <\/p>\n
La gravit\u00e9 de la vuln\u00e9rabilit\u00e9 est aggrav\u00e9e par le fait que les chercheurs ont pu pr\u00e9parer des exploits fonctionnels qui fonctionnent sur Ubuntu 20.04\/20.10\/21.04, Debian 11 et Fedora 34 en configuration par d\u00e9faut. D'autres distributions n'ont pas \u00e9t\u00e9 v\u00e9rifi\u00e9es, mais th\u00e9oriquement, elles pourraient aussi \u00eatre sujettes au probl\u00e8me et peuvent \u00eatre attaqu\u00e9es. Le code complet des exploits sera publi\u00e9 apr\u00e8s la correction g\u00e9n\u00e9ralis\u00e9e du probl\u00e8me, et pour l'instant, seul un prototype limit\u00e9 en fonctionnalit\u00e9s, provoquant un crash du syst\u00e8me, est disponible. Le probl\u00e8me est pr\u00e9sent depuis juillet 2014 et affecte les versions du noyau \u00e0 partir de 3.16. Le correctif de la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 coordonn\u00e9 avec la communaut\u00e9 et int\u00e9gr\u00e9 au noyau le 19 juillet. Les principales distributions ont d\u00e9j\u00e0 pr\u00e9par\u00e9 des mises \u00e0 jour de paquets avec le noyau (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par l'absence de v\u00e9rification du r\u00e9sultat de la conversion de size_t en int avant d'effectuer des op\u00e9rations dans le code seq_file, qui cr\u00e9e des fichiers \u00e0 partir d'une s\u00e9quence d'enregistrements. L'absence de v\u00e9rification peut entra\u00eener l'\u00e9criture dans une zone en dehors des limites du tampon lors de la cr\u00e9ation, du montage et de la suppression d'une structure de r\u00e9pertoires avec un niveau de profondeur tr\u00e8s \u00e9lev\u00e9 (taille du chemin sup\u00e9rieure \u00e0 1 Go). En cons\u00e9quence, un attaquant peut r\u00e9ussir \u00e0 \u00e9crire une cha\u00eene de 10 octets \u00ab \/\/deleted \u00bb avec un d\u00e9calage \u00ab -2 Go - 10 octets \u00bb, indiquant une zone juste avant le tampon allou\u00e9. <\/p>\n
L'exploit pr\u00e9par\u00e9 n\u00e9cessite 5 Go de m\u00e9moire et 1 million d'inodes libres. Le fonctionnement de l'exploit consiste \u00e0 cr\u00e9er, via l'appel mkdir(), une hi\u00e9rarchie d'environ un million de r\u00e9pertoires imbriqu\u00e9s pour atteindre une taille du chemin de fichier d\u00e9passant 1 Go. Ce r\u00e9pertoire est mont\u00e9 via un bind-mount dans un espace de noms d'identifiants d'utilisateurs (user namespace), apr\u00e8s quoi la fonction rmdir() est appel\u00e9e pour le supprimer. Parall\u00e8lement, un thread est cr\u00e9\u00e9 pour charger un petit programme eBPF, qui se bloque \u00e0 l'\u00e9tape apr\u00e8s la v\u00e9rification du pseudo-code eBPF, mais avant sa compilation JIT. <\/p>\n
Dans un espace de noms d'identifiants d'utilisateurs non privil\u00e9gi\u00e9, le fichier \/proc\/self\/mountinfo est ouvert et la lecture d'un long chemin de r\u00e9pertoire mont\u00e9 \u00e0 l'aide d'un bind-mount commence, ce qui entra\u00eene l'\u00e9criture de la cha\u00eene \u00ab \/\/deleted \u00bb dans une zone avant le d\u00e9but du tampon. La position pour \u00e9crire la cha\u00eene est choisie de sorte qu'elle \u00e9crase une instruction dans un programme eBPF d\u00e9j\u00e0 v\u00e9rifi\u00e9, mais pas encore compil\u00e9. <\/p>\n
Ensuite, au niveau du programme eBPF, l'\u00e9criture incontr\u00f4l\u00e9e en dehors du tampon est transform\u00e9e en une capacit\u00e9 contr\u00f4l\u00e9e de lecture et d'\u00e9criture dans d'autres structures du noyau par la manipulation des structures btf et map_push_elem. En cons\u00e9quence, l'exploit d\u00e9termine l'emplacement du tampon modprobe_path[] dans la m\u00e9moire du noyau et le r\u00e9\u00e9crit avec le chemin \u00ab \/sbin\/modprobe \u00bb, ce qui permet d'initier l'ex\u00e9cution de tout fichier ex\u00e9cutable avec des droits root lors de l'appel \u00e0 request_module(), qui est ex\u00e9cut\u00e9, par exemple, lors de la cr\u00e9ation d'une socket netlink. <\/p>\n
Les chercheurs proposent plusieurs m\u00e9thodes de contournement des protections qui ne sont efficaces que pour un exploit sp\u00e9cifique, mais qui ne r\u00e9solvent pas le probl\u00e8me lui-m\u00eame. Il est recommand\u00e9 de d\u00e9finir le param\u00e8tre \u00ab \/proc\/sys\/kernel\/unprivileged_userns_clone \u00bb \u00e0 0 pour interdire le montage de r\u00e9pertoires dans un espace de noms d'identifiants d'utilisateurs distinct, ainsi que \u00ab \/proc\/sys\/kernel\/unprivileged_bpf_disabled \u00bb \u00e0 1 pour interdire le chargement de programmes eBPF dans le noyau.