કર્નલ નબળાઈ Linux, CAN BCM નેટવર્ક પ્રોટોકોલને અસર કરે છે

મૂળમાં Linux એક નબળાઈ (CVE-2021-3609) ઓળખવામાં આવી છે જે સ્થાનિક વપરાશકર્તાને સિસ્ટમમાં તેમના વિશેષાધિકારો વધારવાની મંજૂરી આપે છે. આ સમસ્યા CAN BCM પ્રોટોકોલ અમલીકરણમાં રેસ સ્થિતિને કારણે થાય છે અને કર્નલ રિલીઝમાં હાજર છે. Linux 2.6.25 થી 5.13-rc6 સુધી. વિતરણોમાં સમસ્યા ઉકેલાઈ નથી (RHEL, Fedora, Debian, Ubuntu, SUSE, આર્ક).

જે સંશોધકે નબળાઈ શોધી કાઢી હતી તે કર્નલ ધરાવતી સિસ્ટમો પર રૂટ વિશેષાધિકારો મેળવવા માટે એક શોષણ તૈયાર કરવામાં સક્ષમ હતા. Linux ૫.૪ અને પછીના, જેમાં સફળતાપૂર્વક હુમલો કરવાની શક્યતાનો સમાવેશ થાય છે Ubuntu 20 એપ્રિલ, 2002 LTS. શક્ય છે કે એક્સપ્લોઈટને જૂના કર્નલ સાથે કામ કરવા માટે ફરીથી બનાવી શકાય (કર્નલ 5.4 માં, CAN BCM કોડ (net/can/bcm.c) hrtimer_tasklet થી HRTIMER_MODE_SOFT માં ખસેડવામાં આવ્યો હતો).

CAN BCM પ્રોટોકોલ તમને CAN બસ (કંટ્રોલર એરિયા નેટવર્ક) દ્વારા આવતા તમારા પોતાના મેસેજ હેન્ડલરને રજીસ્ટર કરવાની અને તેને ચોક્કસ નેટવર્ક સોકેટ સાથે જોડવાની મંજૂરી આપે છે. જ્યારે ઇનકમિંગ મેસેજ આવે છે, ત્યારે bcm_rx_handler() ફંક્શન કહેવામાં આવે છે. હુમલાખોર રેસની સ્થિતિનો લાભ લઈ શકે છે અને નેટવર્ક સોકેટને તે જ સમયે બંધ કરી શકે છે જ્યારે bcm_rx_handler() એક્ઝિક્યુટ થાય છે. જ્યારે સોકેટ બંધ થાય છે, ત્યારે bcm_release() ફંક્શન કહેવામાં આવે છે, જે bcm_op અને bcm_sock સ્ટ્રક્ચર્સ માટે ફાળવેલ મેમરીને મુક્ત કરે છે, જે હજુ પણ એક્ઝેક્યુટીંગ bcm_rx_handler() હેન્ડલરમાં ઉપયોગમાં લેવાનું ચાલુ રાખે છે. એવી પરિસ્થિતિ ઊભી થાય છે કે જે પહેલાથી મુક્ત થયેલ મેમરી બ્લોકની ઍક્સેસ તરફ દોરી જાય છે (ઉપયોગ પછી-મુક્ત).

હુમલો બે CAN BCM સોકેટ્સ ખોલવા અને તેમને vcan ઇન્ટરફેસ સાથે જોડવા માટે ઉકળે છે. પ્રથમ સોકેટ ઇનકમિંગ CAN સંદેશાઓ માટે હેન્ડલર સેટ કરવા માટે RX_SETUP ફ્લેગ સાથે sendmsg() ને કૉલ કરે છે, અને બીજું સોકેટ પ્રથમ સોકેટ પર સંદેશ મોકલવા માટે sendmsg()ને કૉલ કરે છે. સંદેશ આવ્યા પછી, bcm_rx_handler() કૉલ ટ્રિગર થાય છે, અને હુમલાખોર યોગ્ય ક્ષણ પસંદ કરે છે અને પ્રથમ સોકેટ બંધ કરે છે, જે bcm_release() ની શરૂઆત અને bcm_op અને bcm_sock સ્ટ્રક્ચર્સનું પ્રકાશન તરફ દોરી જાય છે, જોકે bcm_rx_handler નું કાર્ય () હજુ સુધી પૂર્ણ થયું નથી.

bcm_sock ની સામગ્રીની હેરફેર કરીને, હુમલાખોર sk->sk_data_ready(sk) ફંક્શન, રીડાયરેક્ટ એક્ઝેક્યુશન અને રીટર્ન-ઓરિએન્ટેડ પ્રોગ્રામિંગ (ROP) તકનીકોનો ઉપયોગ કરીને, modprobe_path પેરામીટરના ઓવરરાઈટીંગને ગોઠવી શકે છે અને તેની ખાતરી કરી શકે છે કે તેમનો કોડ છે. રૂટ અધિકારો સાથે ચલાવવામાં આવે છે. આરઓપી તકનીકનો ઉપયોગ કરતી વખતે, હુમલાખોર તેનો કોડ મેમરીમાં મૂકવાનો પ્રયાસ કરતો નથી, પરંતુ લોડ કરેલી લાઇબ્રેરીઓમાં પહેલેથી જ ઉપલબ્ધ મશીન સૂચનાઓના ટુકડાઓ પર કાર્ય કરે છે, જેનો અંત કંટ્રોલ રીટર્ન સૂચના સાથે થાય છે (નિયમ પ્રમાણે, આ લાઇબ્રેરી કાર્યોના અંત છે) . શોષણનું કાર્ય ઇચ્છિત કાર્યક્ષમતા મેળવવા માટે સમાન બ્લોક્સ ("ગેજેટ્સ") પર કૉલ્સની સાંકળ બનાવવા માટે નીચે આવે છે.

આ હુમલા માટે CAN સોકેટ્સ અને રૂપરેખાંકિત vcan નેટવર્ક ઇન્ટરફેસ બનાવવા માટે ઍક્સેસની જરૂર છે. હુમલા માટે જરૂરી વિશેષાધિકારો બિન-વિશેષાધિકારી વપરાશકર્તા દ્વારા વપરાશકર્તા નામસ્થળો સક્ષમ કરેલ સિસ્ટમો પર બનાવેલા કન્ટેનરમાં મેળવી શકાય છે. ઉદાહરણ તરીકે, વપરાશકર્તા નામસ્થળો ડિફોલ્ટ રૂપે સક્ષમ હોય છે Ubuntu અને Fedora, પરંતુ સક્રિય થયેલ નથી Debian અને RHEL.

સોર્સ: opennet.ru