ईबीपीएफ सबसिस्टम में कमजोरियां जो लिनक्स कर्नेल स्तर पर कोड निष्पादन की अनुमति देती हैं

ईबीपीएफ सबसिस्टम में दो नई कमजोरियों की पहचान की गई है, जो आपको जेआईटी के साथ एक विशेष वर्चुअल मशीन में लिनक्स कर्नेल के अंदर हैंडलर चलाने की अनुमति देती है। दोनों कमजोरियाँ एक पृथक eBPF वर्चुअल मशीन के बाहर, कर्नेल अधिकारों के साथ आपके कोड को निष्पादित करना संभव बनाती हैं। समस्याओं के बारे में जानकारी ज़ीरो डे इनिशिएटिव टीम द्वारा प्रकाशित की गई थी, जो Pwn2Own प्रतियोगिता चलाती है, जिसके दौरान इस वर्ष उबंटू लिनक्स पर तीन हमलों का प्रदर्शन किया गया था जो पहले अज्ञात कमजोरियों का उपयोग करते थे (क्या ईबीपीएफ में कमजोरियां इन हमलों से संबंधित हैं, इसकी सूचना नहीं दी गई है) .

• सीवीई-2021-3490 - eBPF ALU32 में बिटवाइज़ AND, OR, और XOR संचालन करते समय भेद्यता 32-बिट आउट-ऑफ-बाउंड जाँच की कमी के कारण होती है। एक हमलावर आवंटित बफर की सीमा के बाहर डेटा को पढ़ने और लिखने के लिए इस त्रुटि का लाभ उठा सकता है। XOR संचालन के साथ समस्या कर्नेल संस्करण 5.7-आरसी1 से शुरू होती है, और AND और OR - 5.10-आरसी1 से शुरू होती है।
• सीवीई-2021-3489 - भेद्यता रिंग बफर के कार्यान्वयन में त्रुटि के कारण होती है और इस तथ्य के कारण होती है कि bpf_ringbuf_reserve फ़ंक्शन ने इस संभावना की जांच नहीं की कि आवंटित मेमोरी क्षेत्र का आकार वास्तविक आकार से कम हो सकता है रिंगबफ का. समस्या रिलीज़ 5.8-आरसी1 के बाद से दिखाई देती है।

वितरण में कमजोरियों को ठीक करने की स्थिति को इन पृष्ठों पर ट्रैक किया जा सकता है: उबंटू, डेबियन, आरएचईएल, फेडोरा, एसयूएसई, आर्क)। सुधार पैच (CVE-2021-3489, CVE-2021-3490) के रूप में भी उपलब्ध हैं। इस मुद्दे का फायदा उठाया जा सकता है या नहीं यह इस बात पर निर्भर करता है कि ईबीपीएफ सिस्टम कॉल उपयोगकर्ता के लिए पहुंच योग्य है या नहीं। उदाहरण के लिए, आरएचईएल में डिफ़ॉल्ट कॉन्फ़िगरेशन में, भेद्यता के शोषण के लिए उपयोगकर्ता के पास CAP_SYS_ADMIN अधिकार होना आवश्यक है।

अलग से, हम लिनक्स कर्नेल में एक और भेद्यता को नोट कर सकते हैं - सीवीई-2021-32606, जो स्थानीय उपयोगकर्ता को अपने विशेषाधिकारों को रूट स्तर तक बढ़ाने की अनुमति देता है। समस्या लिनक्स कर्नेल 5.11 के बाद से स्पष्ट है और यह CAN ISOTP प्रोटोकॉल के कार्यान्वयन में दौड़ की स्थिति के कारण होता है, जो isotp_setsockopt() फ़ंक्शन में उचित लॉक सेट करने की कमी के कारण सॉकेट बाइंडिंग पैरामीटर को बदलना संभव बनाता है। CAN_ISOTP_SF_BROADCAST ध्वज को संसाधित करते समय।

ISOTP सॉकेट बंद होने के बाद, प्राप्तकर्ता सॉकेट से बाइंडिंग प्रभावी रहती है, जो सॉकेट से जुड़ी संरचनाओं का उपयोग उनके साथ जुड़ी मेमोरी के मुक्त होने के बाद भी जारी रख सकती है (isotp_sock संरचना पर कॉल के कारण उपयोग-बाद-मुक्त) जब isotp_rcv() कहा जाता है तो उसे पहले ही मुक्त कर दिया गया है)। डेटा हेरफेर के माध्यम से, आप पॉइंटर को sk_error_report() फ़ंक्शन पर ओवरराइड कर सकते हैं और कर्नेल स्तर पर अपना कोड निष्पादित कर सकते हैं।

स्रोत: opennet.ru