{"id":103489,"date":"2022-03-07T21:36:38","date_gmt":"2022-03-07T19:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-pozvolyayushhaya-iskazit-fajly-dostupnye-tolko-dlya-chteniya"},"modified":"2022-03-07T21:36:38","modified_gmt":"2022-03-07T19:36:38","slug":"uyazvimost-v-yadre-linux-pozvolyayushhaya-iskazit-fajly-dostupnye-tolko-dlya-chteniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-yadre-linux-pozvolyayushhaya-iskazit-fajly-dostupnye-tolko-dlya-chteniya","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans le noyau Linux permettant de corrompre des fichiers en lecture seule","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans le noyau Linux (CVE-2022-0847), permettant d'\u00e9crire le contenu du cache de pages pour n'importe quel fichier, y compris ceux en mode lecture seule, ouverts avec le drapeau O_RDONLY ou situ\u00e9s sur des syst\u00e8mes de fichiers mont\u00e9s en lecture seule. Sur le plan pratique, cette vuln\u00e9rabilit\u00e9 peut \u00eatre utilis\u00e9e pour injecter du code dans des processus arbitraires ou alt\u00e9rer des donn\u00e9es dans des fichiers ouverts. Par exemple, il est possible de modifier le contenu du fichier authorized_keys pour le processus sshd. Un prototype d'exploit est disponible pour le test. <\/p>\n
Le probl\u00e8me a \u00e9t\u00e9 baptis\u00e9 Dirty Pipe, par analogie avec la vuln\u00e9rabilit\u00e9 critique Dirty COW d\u00e9couverte en 2016. Il est not\u00e9 que Dirty Pipe pr\u00e9sente un niveau de danger similaire \u00e0 celui de Dirty COW, mais est beaucoup plus simple \u00e0 exploiter. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e lors de l'examen de plaintes concernant des fichiers t\u00e9l\u00e9charg\u00e9s via le r\u00e9seau qui \u00e9taient parfois corrompus dans le syst\u00e8me, qui charge des archives compress\u00e9es \u00e0 partir d'un serveur de logs (37 corruptions en 3 mois sur un syst\u00e8me tr\u00e8s charg\u00e9), lors de la pr\u00e9paration desquelles l'op\u00e9ration splice() et des canaux sans nom ont \u00e9t\u00e9 utilis\u00e9s. <\/p>\n
La vuln\u00e9rabilit\u00e9 se manifeste \u00e0 partir du noyau Linux 5.8, sorti en ao\u00fbt 2020, c'est-\u00e0-dire qu'elle est pr\u00e9sente dans Debian 11, mais n'affecte pas le noyau de base d'Ubuntu 20.04 LTS. Les noyaux RHEL 8.x et openSUSE\/SUSE 15 sont initialement bas\u00e9s sur des branches anciennes, mais il se peut que le changement \u00e0 l'origine du probl\u00e8me ait \u00e9t\u00e9 r\u00e9troport\u00e9 (aucune donn\u00e9e pr\u00e9cise n'est disponible pour l'instant). Les mises \u00e0 jour des paquets dans les distributions peuvent \u00eatre suivies sur ces pages : Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. Un correctif pour la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 propos\u00e9 dans les versions 5.16.11, 5.15.25 et 5.10.102. Le correctif est \u00e9galement inclus dans le noyau utilis\u00e9 sur la plateforme Android. <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par l'absence d'initialisation de la valeur \u00ab buf->flags \u00bb dans le code des fonctions copy_page_to_iter_pipe() et push_pipe(), alors que la m\u00e9moire lors de l'allocation de la structure n'est pas nettoy\u00e9e. Dans certaines manipulations avec des canaux anonymes, il peut y avoir une valeur d'une autre op\u00e9ration dans \u00ab buf->flags \u00bb. En utilisant cette particularit\u00e9, un utilisateur local non privil\u00e9gi\u00e9 peut faire appara\u00eetre la valeur PIPE_BUF_FLAG_CAN_MERGE dans le drapeau, ce qui permet d'organiser l'\u00e9criture de donn\u00e9es dans le cache de pages par une simple \u00e9criture de nouvelles donn\u00e9es dans un canal anonyme sp\u00e9cifiquement pr\u00e9par\u00e9. <\/p>\n
Pour qu'une attaque r\u00e9ussisse, le fichier cible doit \u00eatre accessible en lecture, et comme lors de l'\u00e9criture dans un pipe, les droits d'acc\u00e8s ne sont pas v\u00e9rifi\u00e9s, il est possible de remplacer dans le cache de page y compris pour des fichiers situ\u00e9s sur des partitions mont\u00e9es en mode lecture seule (par exemple, pour les fichiers d'un CD-ROM). Apr\u00e8s le remplacement des informations dans le cache de page, le processus obtient des donn\u00e9es non r\u00e9elles mais alt\u00e9r\u00e9es lors de la lecture des donn\u00e9es du fichier. <\/p>\n
L'exploitation consiste \u00e0 cr\u00e9er un canal sans nom et \u00e0 le remplir de donn\u00e9es arbitraires afin de d\u00e9clencher le drapeau PIPE_BUF_FLAG_CAN_MERGE dans toutes les structures en anneau qui lui sont associ\u00e9es. Ensuite, les donn\u00e9es sont lues \u00e0 partir du canal, mais le drapeau reste actif dans toutes les instances de la structure pipe_buffer dans les structures en anneau pipe_inode_info. Ensuite, un appel \u00e0 splice() est effectu\u00e9 pour lire les donn\u00e9es du fichier cible dans le canal sans nom, en commen\u00e7ant \u00e0 partir du d\u00e9calage requis. En raison du drapeau PIPE_BUF_FLAG_CAN_MERGE, les donn\u00e9es \u00e9crites dans ce canal sans nom \u00e9craseront les donn\u00e9es dans le cache de page, au lieu de cr\u00e9er une nouvelle instance de la structure pipe_buffer. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"