Linux કર્નલમાં રુટ નબળાઈ અને systemd માં સેવાનો ઇનકાર

Qualys ના સુરક્ષા સંશોધકોએ Linux કર્નલ અને systemd સિસ્ટમ મેનેજરને અસર કરતી બે નબળાઈઓની વિગતો જાહેર કરી છે. કર્નલ (CVE-2021-33909) માં નબળાઈ સ્થાનિક વપરાશકર્તાને અત્યંત નેસ્ટેડ ડિરેક્ટરીઓની હેરફેર દ્વારા રૂટ અધિકારો સાથે કોડ એક્ઝિક્યુશન હાંસલ કરવાની મંજૂરી આપે છે.

નબળાઈનો ખતરો એ હકીકતને કારણે વધી ગયો છે કે સંશોધકો ડિફોલ્ટ રૂપરેખાંકનમાં ઉબુન્ટુ 20.04/20.10/21.04, ડેબિયન 11 અને ફેડોરા 34 પર કામ કરતા કાર્યકારી શોષણ તૈયાર કરવામાં સક્ષમ હતા. એ નોંધ્યું છે કે અન્ય વિતરણોનું પરીક્ષણ કરવામાં આવ્યું નથી, પરંતુ સૈદ્ધાંતિક રીતે પણ સમસ્યા માટે સંવેદનશીલ છે અને હુમલો કરી શકાય છે. દરેક જગ્યાએ સમસ્યા નાબૂદ થયા પછી શોષણનો સંપૂર્ણ કોડ પ્રકાશિત કરવાનું વચન આપવામાં આવ્યું છે, પરંતુ હાલમાં ફક્ત મર્યાદિત કાર્યક્ષમતાનો એક પ્રોટોટાઇપ ઉપલબ્ધ છે, જેના કારણે સિસ્ટમ ક્રેશ થાય છે. સમસ્યા જુલાઈ 2014 થી હાજર છે અને 3.16 થી શરૂ થતા કર્નલ પ્રકાશનોને અસર કરે છે. નબળાઈ સુધારણાને સમુદાય સાથે સંકલન કરવામાં આવ્યું હતું અને 19મી જુલાઈના રોજ કર્નલમાં સ્વીકારવામાં આવ્યું હતું. મુખ્ય વિતરણોએ તેમના કર્નલ પેકેજો (ડેબિયન, ઉબુન્ટુ, Fedora, RHEL, SUSE, Arch) માટે પહેલાથી જ અપડેટ્સ જનરેટ કર્યા છે.

seq_file કોડમાં કામગીરી કરતા પહેલા કદ_t થી int રૂપાંતરનું પરિણામ તપાસવામાં નિષ્ફળતાને કારણે નબળાઈ સર્જાય છે, જે રેકોર્ડના ક્રમમાંથી ફાઈલો બનાવે છે. ચકાસવામાં નિષ્ફળતાનું પરિણામ બફર પર લખવામાં આવી શકે છે જ્યારે ખૂબ નેસ્ટેડ ડાયરેક્ટરી સ્ટ્રક્ચર (1 GB કરતા વધારે પાથનું કદ) બનાવતી વખતે, માઉન્ટ કરતી વખતે અને કાઢી નાખવામાં આવે છે. પરિણામે, હુમલાખોર ફાળવેલ બફરની તરત પહેલાના વિસ્તાર તરફ નિર્દેશ કરતી "-10 GB - 2 બાઇટ્સ" ના ઑફસેટ પર લખેલી 10-બાઇટ સ્ટ્રિંગ "// કાઢી નાખેલી" પ્રાપ્ત કરી શકે છે.

તૈયાર એક્સપ્લોઈટને ઓપરેટ કરવા માટે 5 GB મેમરી અને 1 મિલિયન ફ્રી ઈનોડ્સની જરૂર છે. 1 GB કરતા વધુની ફાઇલ પાથ કદ હાંસલ કરવા માટે લગભગ એક મિલિયન સબડિરેક્ટરીઝની વંશવેલો બનાવવા માટે mkdir() ને કૉલ કરીને શોષણ કાર્ય કરે છે. આ ડિરેક્ટરી અલગ વપરાશકર્તા નેમસ્પેસમાં bind-mount દ્વારા માઉન્ટ થયેલ છે, જે પછી rmdir() ફંક્શન તેને દૂર કરવા માટે ચલાવવામાં આવે છે. સમાંતરમાં, એક થ્રેડ બનાવવામાં આવે છે જે એક નાનો eBPF પ્રોગ્રામ લોડ કરે છે, જે eBPF સ્યુડોકોડ તપાસ્યા પછી સ્ટેજ પર અવરોધિત થાય છે, પરંતુ તેના JIT સંકલન પહેલાં.

અનપ્રિવિલેજ્ડ userid નેમસ્પેસમાં, ફાઇલ /proc/self/mountinfo ખોલવામાં આવે છે અને બાઈન્ડ-માઉન્ટેડ ડાયરેક્ટરીનું લાંબુ પાથનામ વાંચવામાં આવે છે, જેના પરિણામે બફરની શરૂઆત પહેલા વિસ્તાર પર "//કાઢી નાખેલ" શબ્દમાળા લખવામાં આવે છે. લીટી લખવા માટેની સ્થિતિ પસંદ કરવામાં આવે છે જેથી તે પહેલાથી જ પરીક્ષણ કરેલ પરંતુ હજુ સુધી કમ્પાઈલ કરેલ eBPF પ્રોગ્રામમાં સૂચનાને ઓવરરાઈટ કરે.

આગળ, eBPF પ્રોગ્રામ સ્તરે, અનિયંત્રિત આઉટ-ઓફ-બફર લેખન btf અને map_push_elem સ્ટ્રક્ચર્સની હેરફેર દ્વારા અન્ય કર્નલ સ્ટ્રક્ચર્સને વાંચવા અને લખવાની નિયંત્રિત ક્ષમતામાં રૂપાંતરિત થાય છે. પરિણામે, શોષણ કર્નલ મેમરીમાં modprobe_path[] બફરનું સ્થાન નિર્ધારિત કરે છે અને તેમાં “/sbin/modprobe” પાથને ઓવરરાઈટ કરે છે, જે તમને રૂટ અધિકારો સાથે કોઈપણ એક્ઝિક્યુટેબલ ફાઈલને શરૂ કરવાની મંજૂરી આપે છે. request_module() કૉલ, જે એક્ઝિક્યુટ થાય છે, ઉદાહરણ તરીકે, નેટલિંક સોકેટ બનાવતી વખતે.

સંશોધકો કેટલાક ઉપાયો પૂરા પાડે છે જે ફક્ત ચોક્કસ શોષણ માટે જ અસરકારક હોય છે, પરંતુ સમસ્યાને જ દૂર કરતા નથી. અલગ વપરાશકર્તા ID નેમસ્પેસમાં માઉન્ટિંગ ડિરેક્ટરીઓ નિષ્ક્રિય કરવા માટે "/proc/sys/kernel/unprivileged_userns_clone" ને 0 પર સેટ કરવાની ભલામણ કરવામાં આવે છે, અને કર્નલમાં eBPF પ્રોગ્રામ્સને લોડ કરવાનું નિષ્ક્રિય કરવા માટે "/proc/sys/kernel/unprivileged_bpf_disabled" ને 1 પર સેટ કરવાની ભલામણ કરવામાં આવે છે.

નોંધનીય છે કે મોટી ડાયરેક્ટરી માઉન્ટ કરવા માટે બાઈન્ડ-માઉન્ડને બદલે FUSE મિકેનિઝમનો ઉપયોગ કરતા વૈકલ્પિક હુમલાનું પૃથ્થકરણ કરતી વખતે, સંશોધકોને બીજી નબળાઈ (CVE-2021-33910) મળી જે સિસ્ટમડ સિસ્ટમ મેનેજરને અસર કરે છે. તે બહાર આવ્યું છે કે જ્યારે FUSE દ્વારા 8 MB કરતા વધુની પાથ સાઈઝ સાથે ડાયરેક્ટરી માઉન્ટ કરવાનો પ્રયાસ કરવામાં આવે છે, ત્યારે કંટ્રોલ ઈનિશિલાઈઝેશન પ્રોસેસ (PID1) સ્ટેક મેમરીમાંથી બહાર નીકળી જાય છે અને ક્રેશ થઈ જાય છે, જે સિસ્ટમને "ગભરાટ" સ્થિતિમાં મૂકે છે.

સમસ્યા એ છે કે systemd /proc/self/mountinfo ની સામગ્રીને ટ્રેક કરે છે અને પાર્સ કરે છે, અને unit_name_path_escape() ફંક્શનમાં દરેક માઉન્ટ પોઈન્ટ પર પ્રક્રિયા કરે છે, જે strdupa() ઓપરેશન કરે છે જે ગતિશીલ રીતે ફાળવેલ મેમરીને બદલે સ્ટેક પર ડેટા મૂકે છે. . મહત્તમ સ્ટેકનું કદ RLIMIT_STACK દ્વારા મર્યાદિત હોવાથી, માઉન્ટ પોઈન્ટના પાથ પર ખૂબ મોટા પ્રક્રિયા કરવાથી PID1 પ્રક્રિયા ક્રેશ થાય છે અને સિસ્ટમ બંધ થાય છે. હુમલા માટે, તમે માઉન્ટ પોઈન્ટ તરીકે ઉચ્ચ નેસ્ટેડ ડાયરેક્ટરીનો ઉપયોગ કરીને સંયોજનમાં સૌથી સરળ FUSE મોડ્યુલનો ઉપયોગ કરી શકો છો, જેનું પાથનું કદ 8 MB કરતા વધારે છે.

આ સમસ્યા systemd 220 (એપ્રિલ 2015) થી દેખાઈ રહી છે, જે પહેલાથી જ મુખ્ય systemd રિપોઝીટરીમાં ઠીક કરવામાં આવી છે અને વિતરણોમાં નિશ્ચિત છે (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). નોંધનીય રીતે, systemd પ્રકાશન 248 માં systemd કોડમાં ભૂલને કારણે શોષણ કામ કરતું નથી કે જે /proc/self/mountinfo ની પ્રક્રિયાને નિષ્ફળ થવાનું કારણ બને છે. તે પણ રસપ્રદ છે કે 2018 માં, આવી જ પરિસ્થિતિ ઊભી થઈ હતી અને જ્યારે Linux કર્નલમાં CVE-2018-14634 નબળાઈ માટે શોષણ લખવાનો પ્રયાસ કરી રહ્યા હતા, ત્યારે Qualys સંશોધકોએ systemd માં ત્રણ જટિલ નબળાઈઓ અનુભવી હતી.

સોર્સ: opennet.ru