Chaidh so-leòntachd (CVE-2021-4122) a chomharrachadh anns a’ phacaid Cryptsetup, air a chleachdadh gus sgaraidhean diosc a chrioptachadh ann an Linux, a leigeas le crioptachadh a bhith ciorramach air sgaraidhean ann an cruth LUKS2 (Linux Unified Key Setup) le bhith ag atharrachadh meata-dàta. Gus brath a ghabhail air so-leòntachd, feumaidh cothrom corporra a bhith aig an neach-ionnsaigh air na meadhanan crioptaichte, i.e. Tha an dòigh a’ dèanamh ciall sa mhòr-chuid airson ionnsaigh a thoirt air innealan stòraidh taobh a-muigh crioptaichte, leithid draibhearan Flash, air a bheil cothrom aig an neach-ionnsaigh ach nach eil eòlach air am facal-faire gus an dàta a dhì-chrioptachadh.
Chan eil an ionnsaigh buntainneach ach airson cruth LUKS2 agus tha e co-cheangailte ri làimhseachadh meata-dàta le uallach airson an leudachadh “ath-chrioptachadh air-loidhne” a chuir an gnìomh, a leigeas, ma tha feum air an iuchair ruigsinneachd atharrachadh, pròiseas ath-chrioptachadh dàta a thòiseachadh air an itealan. gun stad a chur air obair leis an sgaradh. Leis gu bheil am pròiseas dì-chrioptachaidh agus crioptachaidh le iuchair ùr a’ toirt tòrr ùine, tha “ath-chrioptachadh air-loidhne” ga dhèanamh comasach gun a bhith a’ cur stad air obair leis an sgaradh agus a’ dèanamh ath-chrioptachadh air a’ chùl, ag ath-chrioptachadh dàta bho aon iuchair gu iuchair eile mean air mhean. . Tha e comasach cuideachd iuchair targaid falamh a thaghadh, a leigeas leat an earrann a thionndadh gu cruth dì-chrioptaichte.
Faodaidh neach-ionnsaigh atharrachaidhean a dhèanamh air meata-dàta LUKS2 a tha coltach ri casg air an obair dì-chrioptachaidh mar thoradh air fàilligeadh agus dì-chrioptachadh pàirt den sgaradh a choileanadh às deidh an draibheadh atharraichte a chuir an gnìomh agus a chleachdadh leis an t-sealbhadair. Anns a ’chùis seo, chan fhaigh an neach-cleachdaidh a cheangail an draibhear atharraichte agus a dh’ fhuasgladh leis an fhacal-fhaire cheart rabhadh sam bith mun phròiseas gus an obair ath-chrioptachaidh briste ath-nuadhachadh agus chan urrainn dha ach faighinn a-mach mu adhartas na h-obrach seo a ’cleachdadh an“ luks Dump ” àithne. Tha an ìre de dhàta as urrainn neach-ionnsaigh a dhì-chrioptachadh an urra ri meud bann-cinn LUKS2, ach aig a’ mheud bunaiteach (16 MiB) faodaidh e a bhith nas àirde na 3 GB.
Tha an duilgheadas air adhbhrachadh leis an fhìrinn ged a dh’ fheumas ath-chrioptachadh obrachadh a-mach agus dearbhadh hashes nan iuchraichean ùra is sean, chan eil feum air hash gus tòiseachadh air dì-chrioptachadh ma tha an stàit ùr a’ ciallachadh nach eil iuchair teacsa soilleir ann airson crioptachadh. A bharrachd air an sin, chan eil meata-dàta LUKS2, a tha a’ sònrachadh an algairim crioptachaidh, air a dhìon bho atharrachadh ma thuiteas e ann an làmhan neach-ionnsaigh. Gus casg a chuir air so-leòntachd, chuir an luchd-leasachaidh dìon a bharrachd airson meata-dàta gu LUKS2, airson a bheil hash a bharrachd air a sgrùdadh a-nis, air a thomhas a rèir iuchraichean aithnichte agus susbaint meata-dàta, i.e. chan urrainn do neach-ionnsaigh meata-dàta atharrachadh gu h-obann gun a bhith eòlach air am facal-faire dì-chrioptachaidh.
Tha suidheachadh ionnsaigh àbhaisteach ag iarraidh gum bi an neach-ionnsaigh comasach air an làmhan fhaighinn air an draibheadh iomadh uair. An toiseach, bidh neach-ionnsaigh nach eil eòlach air am facal-faire ruigsinneachd a ’dèanamh atharrachaidhean air an raon meata-dàta, a’ toirt air falbh pàirt den dàta a dhì-chrioptachadh an ath thuras a thèid an draibhear a chuir an gnìomh. Thèid an draibhear an uairsin a thilleadh chun àite aige agus bidh an neach-ionnsaigh a ’feitheamh gus an ceangail an neach-cleachdaidh e le bhith a’ cuir a-steach facal-faire. Nuair a thèid an inneal a chuir an gnìomh leis an neach-cleachdaidh, thèid pròiseas ath-chrioptachadh cùl-fhiosrachaidh a thòiseachadh, nuair a thèid dàta dì-chrioptaichte a chuir an àite pàirt den dàta crioptaichte. A bharrachd air an sin, ma thèid aig an neach-ionnsaigh air a làmhan fhaighinn air an inneal a-rithist, bidh cuid den dàta air an draibhear ann an cruth dì-chrioptachaidh.
Chaidh an duilgheadas a chomharrachadh le neach-gleidhidh a ’phròiseict cryptsetup agus a shuidheachadh anns na h-ùrachaidhean cryptsetup 2.4.3 agus 2.3.7. Faodar sùil a chumail air inbhe nan ùrachaidhean a thathas a’ cruthachadh gus an duilgheadas ann an sgaoilidhean a chàradh air na duilleagan seo: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. Chan eil an so-leòntachd a’ nochdadh ach bho chaidh cryptsetup 2.2.0 a leigeil ma sgaoil, a thug a-steach taic don ghnìomhachd “ath-chrioptachadh air-loidhne”. Mar fhuasgladh airson dìon, faodar cur air bhog leis an roghainn “--disable-luks2-reencryption” a chleachdadh.
Source: fosgailtenet.ru