Une cinqui\u00e8me vuln\u00e9rabilit\u00e9 critique a \u00e9t\u00e9 identifi\u00e9e dans le noyau Linux au cours des deux derni\u00e8res semaines, permettant \u00e0 un utilisateur d'\u00e9lever ses privil\u00e8ges dans le syst\u00e8me. Deux exploits fonctionnels ont \u00e9t\u00e9 publi\u00e9s : sshkeysign_pwn permet \u00e0 un utilisateur non privil\u00e9gi\u00e9 de lire le contenu des cl\u00e9s SSH priv\u00e9es host\u00e9es dans \/etc\/ssh\/ssh_host_*_key, tandis que chage_pwn permet de lire le contenu du fichier \/etc\/shadow contenant les hachages des mots de passe des utilisateurs. <\/p>\n
Les informations sur la vuln\u00e9rabilit\u00e9 n'\u00e9taient pas pr\u00e9vues pour \u00eatre divulgu\u00e9es, mais l'un des chercheurs en s\u00e9curit\u00e9 a pu d\u00e9terminer la nature de la vuln\u00e9rabilit\u00e9, permettant de lire des fichiers accessibles uniquement \u00e0 l'utilisateur root, par exemple, \/etc\/shadow, \u00e0 partir d'un patch propos\u00e9 pour le noyau. Dans le changement ajout\u00e9 au noyau, la logique d'utilisation de la fonction get_dumpable() dans ptrace a \u00e9t\u00e9 corrig\u00e9e lors de la d\u00e9termination du niveau d'acc\u00e8s dans la fonction ptrace_may_access(). <\/p>\n
La vuln\u00e9rabilit\u00e9 est directement caus\u00e9e par une condition de course, permettant un acc\u00e8s non privil\u00e9gi\u00e9 \u00e0 un descripteur de fichier pidfd apr\u00e8s l'acc\u00e8s \u00e0 un fichier depuis un processus suid root. \u00c0 l'instant entre l'ouverture du fichier et la r\u00e9initialisation des privil\u00e8ges dans le programme suid (par exemple, via la fonction setreuid), une situation se produit o\u00f9 l'application ayant lanc\u00e9 le programme suid root peut acc\u00e9der au fichier ouvert dans le programme suid via le descripteur pidfd, m\u00eame si les droits d'acc\u00e8s au fichier ne le permettent pas. <\/p>\n
La fen\u00eatre d'exploitation survient en raison du fait que la fonction \u00ab __ptrace_may_access() \u00bb omet de v\u00e9rifier la possibilit\u00e9 d'acc\u00e8s au fichier si le champ task->mm est d\u00e9fini sur NULL apr\u00e8s l'ex\u00e9cution de exit_mm(), mais avant l'appel de exit_files(). Actuellement, l'appel syst\u00e8me pidfd_getfd suppose que l'identifiant de l'utilisateur (uid) du processus appelant correspond \u00e0 l'identifiant auquel l'acc\u00e8s au fichier est autoris\u00e9. Il est \u00e0 noter que ce probl\u00e8me avait d\u00e9j\u00e0 \u00e9t\u00e9 signal\u00e9 en 2020, mais qu'il reste non r\u00e9solu. <\/p>\n
Dans l'exploit qui acc\u00e8de au contenu de \/etc\/shadow, l'attaque consiste \u00e0 ex\u00e9cuter de mani\u00e8re cyclique l'application \/usr\/bin\/chage avec le flag suid root, qui lit le contenu de \/etc\/shadow. Une fois que le processus a bifurqu\u00e9, un appel syst\u00e8me pidfd_open est effectu\u00e9 et une recherche cyclique des descripteurs pidfd disponibles se fait via l'appel syst\u00e8me pidfd_getfd, ainsi que leur v\u00e9rification via \/proc\/self\/fd. Dans l'exploit sshkeysign_pwn, des manipulations similaires sont effectu\u00e9es avec le programme suid root ssh-keysign. <\/p>\n
Aucun identifiant CVE n'a \u00e9t\u00e9 attribu\u00e9 au probl\u00e8me pour le moment, et la mise \u00e0 jour du noyau et des paquets dans les distributions n'a pas \u00e9t\u00e9 publi\u00e9e. Dans les noyaux 7.0.7, 6.18.30 et 6.12.88 publi\u00e9s il y a quelques heures, la vuln\u00e9rabilit\u00e9 n'a pas \u00e9t\u00e9 corrig\u00e9e. Au moment de la r\u00e9daction de l'actualit\u00e9, seul un correctif peut \u00eatre utilis\u00e9. Des contournements possibles pour bloquer la vuln\u00e9rabilit\u00e9 sont discut\u00e9s, tels que la d\u00e9finition de sysctl kernel.yama.ptrace_scope=3 ou la suppression du drapeau suid root des fichiers ex\u00e9cutables dans le syst\u00e8me (au moins avec les utilitaires ssh-keysign et chage, utilis\u00e9s dans les exploits).