{"id":107498,"date":"2023-03-24T12:48:20","date_gmt":"2023-03-24T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=107498"},"modified":"2023-03-24T20:21:30","modified_gmt":"2023-03-24T18:21:30","slug":"uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans OverlayFS permettant d'\u00e9lever ses privil\u00e8ges","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans le noyau Linux dans l'impl\u00e9mentation du syst\u00e8me de fichiers OverlayFS (CVE-2023-0386), pouvant \u00eatre exploit\u00e9e pour obtenir un acc\u00e8s root sur les syst\u00e8mes o\u00f9 le sous-syst\u00e8me FUSE est install\u00e9 et o\u00f9 le montage des partitions OverlayFS est autoris\u00e9 pour les utilisateurs non privil\u00e9gi\u00e9s (\u00e0 partir du noyau Linux 5.11 avec activation des espaces de noms d'utilisateur non privil\u00e9gi\u00e9s). Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans la branche du noyau 6.2. Les publications de mises \u00e0 jour des paquets dans les distributions peuvent \u00eatre suivies sur les pages suivantes : Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch. <\/p>\n
L'attaque est effectu\u00e9e en copiant des fichiers avec les drapeaux setgid\/setuid depuis une partition mont\u00e9e avec l'option nosuid vers une partition OverlayFS, ayant une couche li\u00e9e \u00e0 une partition autorisant l'ex\u00e9cution de fichiers suid. La vuln\u00e9rabilit\u00e9 est proche du probl\u00e8me CVE-2021-3847, identifi\u00e9 en 2021, mais pr\u00e9sente des exigences d'exploitation plus faibles \u2014 dans l'ancien probl\u00e8me, des manipulations avec des xattrs \u00e9taient n\u00e9cessaires, qui sont limit\u00e9es lors de l'utilisation des espaces de noms d'identifiants utilisateur (user namespace), alors que dans le nouveau probl\u00e8me, les bits setgid\/setuid sont utilis\u00e9s, qui ne sont pas sp\u00e9cifiquement trait\u00e9s dans le user namespace. <\/p>\n
L'algorithme d'ex\u00e9cution de l'attaque\u00a0: <\/p>\n
\n
Un syst\u00e8me de fichiers est mont\u00e9 \u00e0 l'aide de la sous-syst\u00e8me FUSE, o\u00f9 se trouve un fichier ex\u00e9cutable appartenant \u00e0 l'utilisateur root avec des drapeaux setuid\/setgid, accessible en \u00e9criture \u00e0 tous les utilisateurs. Lors du montage, FUSE applique le mode \u00ab nosuid \u00bb.\n
Les espaces de noms utilisateurs et de points de montage sont annul\u00e9s (unshare).\n
OverlayFS est mont\u00e9 en sp\u00e9cifiant le syst\u00e8me de fichiers cr\u00e9\u00e9 pr\u00e9c\u00e9demment dans FUSE comme couche inf\u00e9rieure et une couche sup\u00e9rieure bas\u00e9e sur un r\u00e9pertoire autorisant l'\u00e9criture. Le r\u00e9pertoire de la couche sup\u00e9rieure doit \u00eatre situ\u00e9 dans un syst\u00e8me de fichiers o\u00f9 le drapeau \u00ab nosuid \u00bb n'est pas utilis\u00e9 lors du montage.\n
Pour un fichier suid dans la partition FUSE, l'outil touch modifie l'heure de modification, entra\u00eenant sa copie dans la couche sup\u00e9rieure d'OverlayFS.\n
Lors de la copie, le noyau ne retire pas les drapeaux setgid\/setuid, ce qui fait que le fichier appara\u00eet dans la partition permettant le traitement des setgid\/setuid.\n
Pour obtenir des droits root, il suffit d'ex\u00e9cuter le fichier avec les drapeaux setgid\/setuid \u00e0 partir du r\u00e9pertoire attach\u00e9 \u00e0 la couche sup\u00e9rieure d'OverlayFS. <\/ul>\n
Il convient \u00e9galement de noter que des chercheurs de l'\u00e9quipe Google Project Zero ont r\u00e9v\u00e9l\u00e9 des informations sur trois vuln\u00e9rabilit\u00e9s qui ont \u00e9t\u00e9 corrig\u00e9es dans la branche principale du noyau Linux 5.15, mais qui n'ont pas \u00e9t\u00e9 transf\u00e9r\u00e9es dans les paquets de noyau de RHEL 8.x\/9.x et CentOS Stream 9. <\/p>\n
\n
CVE-2023-1252 \u2014 acc\u00e8s \u00e0 une zone m\u00e9moire d\u00e9j\u00e0 lib\u00e9r\u00e9e dans la structure ovl_aio_req lors de plusieurs op\u00e9rations simultan\u00e9es dans OverlayFS, d\u00e9ploy\u00e9e sur un syst\u00e8me de fichiers Ext4. La vuln\u00e9rabilit\u00e9 permet potentiellement d'augmenter ses privil\u00e8ges dans le syst\u00e8me.\n
CVE-2023-0590 \u2014 acc\u00e8s \u00e0 une zone m\u00e9moire d\u00e9j\u00e0 lib\u00e9r\u00e9e dans la fonction qdisc_graft(). On suppose que l'exploitation est limit\u00e9e \u00e0 un plantage.\n
CVE-2023-1249 \u2014 acc\u00e8s \u00e0 une zone m\u00e9moire d\u00e9j\u00e0 lib\u00e9r\u00e9e dans le code d'\u00e9criture du coredump, r\u00e9sultant d'un appel mmap_lock manqu\u00e9 dans file_files_note. On suppose que l'exploitation est limit\u00e9e \u00e0 un plantage. <\/ul>\n