लिनक्स कर्नेल में रूट भेद्यता और सिस्टमडी में सेवा से इनकार

क्वालिस के सुरक्षा शोधकर्ताओं ने लिनक्स कर्नेल और सिस्टमड सिस्टम मैनेजर को प्रभावित करने वाली दो कमजोरियों का विवरण प्रकट किया है। कर्नेल में एक भेद्यता (सीवीई-2021-33909) एक स्थानीय उपयोगकर्ता को अत्यधिक नेस्टेड निर्देशिकाओं में हेरफेर के माध्यम से रूट अधिकारों के साथ कोड निष्पादन प्राप्त करने की अनुमति देती है।

भेद्यता का खतरा इस तथ्य से बढ़ गया है कि शोधकर्ता कामकाजी कारनामे तैयार करने में सक्षम थे जो डिफ़ॉल्ट कॉन्फ़िगरेशन में उबंटू 20.04/20.10/21.04, डेबियन 11 और फेडोरा 34 पर काम करते हैं। यह ध्यान दिया जाता है कि अन्य वितरणों का परीक्षण नहीं किया गया है, लेकिन सैद्धांतिक रूप से वे भी समस्या के प्रति संवेदनशील हैं और उन पर हमला किया जा सकता है। हर जगह समस्या समाप्त होने के बाद शोषण का पूरा कोड प्रकाशित करने का वादा किया गया है, लेकिन अभी तक केवल सीमित कार्यक्षमता का एक प्रोटोटाइप उपलब्ध है, जिससे सिस्टम क्रैश हो गया है। समस्या जुलाई 2014 से मौजूद है और 3.16 से शुरू होने वाले कर्नेल रिलीज़ को प्रभावित करती है। भेद्यता समाधान को समुदाय के साथ समन्वित किया गया और 19 जुलाई को कर्नेल में स्वीकार किया गया। मुख्य वितरणों ने पहले ही अपने कर्नेल पैकेज (डेबियन, उबंटू, फेडोरा, आरएचईएल, एसयूएसई, आर्क) के लिए अपडेट तैयार कर लिया है।

भेद्यता seq_file कोड में संचालन करने से पहले size_t से int रूपांतरण के परिणाम की जांच करने में विफलता के कारण होती है, जो रिकॉर्ड के अनुक्रम से फ़ाइलें बनाता है। जांच करने में विफलता के परिणामस्वरूप बहुत नेस्टेड निर्देशिका संरचना (पथ आकार 1 जीबी से अधिक) बनाते, माउंट करते और हटाते समय बफर को आउट-ऑफ-बाउंड लिखा जा सकता है। परिणामस्वरूप, एक हमलावर आवंटित बफर से ठीक पहले के क्षेत्र की ओर इशारा करते हुए "-10 जीबी - 2 बाइट्स" के ऑफसेट पर लिखी गई 10-बाइट स्ट्रिंग "//हटाए गए" को प्राप्त कर सकता है।

तैयार एक्सप्लॉइट को संचालित करने के लिए 5 जीबी मेमोरी और 1 मिलियन मुफ्त इनोड की आवश्यकता होती है। शोषण 1 जीबी से अधिक फ़ाइल पथ आकार प्राप्त करने के लिए लगभग दस लाख उपनिर्देशिकाओं का पदानुक्रम बनाने के लिए mkdir() को कॉल करके काम करता है। इस निर्देशिका को बाइंड-माउंट के माध्यम से एक अलग उपयोगकर्ता नामस्थान में माउंट किया जाता है, जिसके बाद इसे हटाने के लिए rmdir() फ़ंक्शन चलाया जाता है। समानांतर में, एक थ्रेड बनाया जाता है जो एक छोटा ईबीपीएफ प्रोग्राम लोड करता है, जिसे ईबीपीएफ स्यूडोकोड की जांच के बाद चरण में अवरुद्ध किया जाता है, लेकिन इसके जेआईटी संकलन से पहले।

अनप्रिविलेज्ड यूजरआईडी नेमस्पेस में, फ़ाइल /proc/self/mountinfo को खोला जाता है और बाइंड-माउंटेड डायरेक्टरी का लंबा पथनाम पढ़ा जाता है, जिसके परिणामस्वरूप बफर की शुरुआत से पहले क्षेत्र में स्ट्रिंग "//हटाया गया" लिखा जाता है। लाइन लिखने की स्थिति इसलिए चुनी जाती है ताकि यह पहले से ही परीक्षण किए गए लेकिन अभी तक संकलित नहीं किए गए eBPF प्रोग्राम में निर्देश को अधिलेखित कर दे।

इसके बाद, ईबीपीएफ प्रोग्राम स्तर पर, अनियंत्रित आउट-ऑफ-बफर लेखन को बीटीएफ और मैप_पश_एलेम संरचनाओं के हेरफेर के माध्यम से अन्य कर्नेल संरचनाओं को पढ़ने और लिखने की नियंत्रित क्षमता में बदल दिया जाता है। परिणामस्वरूप, शोषण कर्नेल मेमोरी में modprobe_path[] बफर का स्थान निर्धारित करता है और इसमें "/sbin/modprobe" पथ को अधिलेखित कर देता है, जो आपको किसी भी निष्पादन योग्य फ़ाइल को रूट अधिकारों के साथ लॉन्च करने की अनुमति देता है। request_module() कॉल, जिसे निष्पादित किया जाता है, उदाहरण के लिए, नेटलिंक सॉकेट बनाते समय।

शोधकर्ता कई समाधान प्रदान करते हैं जो केवल एक विशिष्ट शोषण के लिए प्रभावी होते हैं, लेकिन समस्या को समाप्त नहीं करते हैं। एक अलग उपयोगकर्ता आईडी नेमस्पेस में बढ़ते निर्देशिकाओं को अक्षम करने के लिए "/proc/sys/kernel/unprivileged_userns_clone" को 0 पर सेट करने की अनुशंसा की जाती है, और कर्नेल में eBPF प्रोग्राम लोड करने को अक्षम करने के लिए "/proc/sys/kernel/unprivileged_bpf_disabled" को 1 पर सेट करने की अनुशंसा की जाती है।

यह उल्लेखनीय है कि एक बड़ी निर्देशिका को माउंट करने के लिए बाइंड-माउंड के बजाय FUSE तंत्र के उपयोग से जुड़े एक वैकल्पिक हमले का विश्लेषण करते समय, शोधकर्ताओं को सिस्टमड सिस्टम मैनेजर को प्रभावित करने वाली एक और भेद्यता (CVE-2021-33910) का पता चला। यह पता चला कि जब FUSE के माध्यम से 8 एमबी से अधिक पथ आकार वाली निर्देशिका को माउंट करने का प्रयास किया जाता है, तो नियंत्रण आरंभीकरण प्रक्रिया (PID1) स्टैक मेमोरी से बाहर हो जाती है और क्रैश हो जाती है, जो सिस्टम को "घबराहट" की स्थिति में डाल देती है।

समस्या यह है कि सिस्टमडी /proc/self/mountinfo की सामग्री को ट्रैक और पार्स करता है, और यूनिट_नाम_पथ_एस्केप() फ़ंक्शन में प्रत्येक माउंट बिंदु को संसाधित करता है, जो एक strdupa() ऑपरेशन करता है जो डेटा को गतिशील रूप से आवंटित मेमोरी के बजाय स्टैक पर रखता है . चूँकि अधिकतम स्टैक आकार RLIMIT_STACK के माध्यम से सीमित है, माउंट बिंदु पर बहुत बड़े पथ को संसाधित करने से PID1 प्रक्रिया क्रैश हो जाती है और सिस्टम बंद हो जाता है। किसी हमले के लिए, आप माउंट पॉइंट के रूप में अत्यधिक नेस्टेड निर्देशिका का उपयोग करने के साथ संयोजन में सबसे सरल FUSE मॉड्यूल का उपयोग कर सकते हैं, जिसका पथ आकार 8 एमबी से अधिक है।

समस्या सिस्टमडी 220 (अप्रैल 2015) से दिखाई दे रही है, इसे पहले ही मुख्य सिस्टमडी रिपॉजिटरी में ठीक कर दिया गया है और वितरण (डेबियन, उबंटू, फेडोरा, आरएचईएल, एसयूएसई, आर्क) में ठीक कर दिया गया है। विशेष रूप से, सिस्टमडी रिलीज़ 248 में सिस्टमडी कोड में एक बग के कारण शोषण काम नहीं करता है जिसके कारण /proc/self/mountinfo की प्रोसेसिंग विफल हो जाती है। यह भी दिलचस्प है कि 2018 में भी ऐसी ही स्थिति उत्पन्न हुई थी और जब लिनक्स कर्नेल में CVE-2018-14634 भेद्यता के लिए एक शोषण लिखने की कोशिश की गई, तो क्वालिस शोधकर्ताओं को सिस्टमडी में तीन महत्वपूर्ण कमजोरियां मिलीं।

स्रोत: opennet.ru