Istra\u017eiva\u010di sigurnosti iz kompanije Qualys otkrili su detalje o dvije ranjivosti koje poga\u0111aju Linux kernel i sistemski menad\u017eer systemd. Ranjivost u kernelu (CVE-2021-33909) omogu\u0107ava lokalnom korisniku da izvr\u0161i kod s root privilegijama manipulacijom s direktorijima velike dubine. <\/p>\n
Opasnost ranjivosti dodatno se pove\u0107ava jer su istra\u017eiva\u010dima uspjeli pripremiti radne eksploite koji funkcioni\u0161u na Ubuntu 20.04\/20.10\/21.04, Debian 11 i Fedora 34 u zadanoj konfiguraciji. Napominje se da drugi distribucije nisu testirane, ali teoretski su tako\u0111e podlo\u017ene problemu i mogu biti napadnute. Potpuni kod eksploita bi\u0107e objavljen nakon \u0161to se problem univerzalno re\u0161i, a za sada je dostupan samo ograni\u010deni prototip koji izaziva ru\u0161enje sistema. Problem se pojavljuje od jula 2014. godine i poga\u0111a izdanja kernela od verzije 3.16. Korekcija ranjivosti koordinisana je s zajednicom i uklju\u010dena u kernel 19. jula. Glavni distribucije ve\u0107 su formirali a\u017euriranja paketa s kernelom (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Ranljivost je posledica nedostatka provere rezultata konverzije tipa size_t u int pre nego \u0161to se izvr\u0161e operacije u kodu seq_file, koji se koristi za kreiranje datoteka iz niza zapisa. Nedostatak provere mo\u017ee dovesti do pisanja van granica bafera prilikom kreiranja, montiranja i brisanja strukture direktorijuma sa vrlo visokim nivoom ugnje\u017edenja (du\u017eina puta ve\u0107a od 1 GB). Kao rezultat toga, napada\u010d mo\u017ee izvesti upis stringa \"\/\/deleted\" sa offsetom \"- 2 GB - 10 bajtova\", koji ukazuje na podru\u010dje neposredno pre dodeljenog bafera. <\/p>\n
Pripremljeni eksploit zahtijeva 5 GB memorije i 1 milion slobodnih inode-ova za rad. Funkcionalnost eksploita svodi se na stvaranje hijerarhije od oko milion ugnije\u017edenih direktorija putem poziva mkdir() kako bi se postigla du\u017eina datote\u010dnog puta koja prelazi 1 GB. Ovaj direktorij se montira putem bind-mount u zasebnom prostoru imena identifikatora korisnika (user namespace), nakon \u010dega se poziva funkcija rmdir() za njegovo brisanje. Paralelno se stvara nit koja u\u010ditava malu eBPF-program, koja se blokira u fazi nakon provjere pseudo-koda eBPF, ali prije njegove JIT-kompilacije. <\/p>\n
U neprivilegovanom prostoru imenskih identifikatora korisnika otvara se datoteka \/proc\/self\/mountinfo i po\u010dinje \u010ditati dugi put direktorijuma montiranog pomo\u0107u bind-mount, \u0161to dovodi do pisanja stringa \"\/\/deleted\" u podru\u010dje pre po\u010detka bafera. Pozicija za upis stringa se bira na na\u010din da prepisuje instrukciju u ve\u0107 proverenoj, ali jo\u0161 nekompajliranoj eBPF aplikaciji. <\/p>\n
Nakon toga, na nivou eBPF programa, nekontrolisani upis van bafera se transformi\u0161e u kontrolisanu mogu\u0107nost \u010ditanja i pisanja u druge strukture jezgra putem manipulacije sa strukturama btf i map_push_elem. Kao rezultat, exploit odre\u0111uje lokaciju bafera modprobe_path[] u memoriji jezgra i prepisuje put \"\\\/sbin\\\/modprobe\", \u0161to omogu\u0107ava pokretanje bilo koje izvr\u0161ne datoteke sa pravima root kada se izvr\u0161i poziv request_module(), koji se, na primer, vr\u0161i prilikom kreiranja netlink soketa. <\/p>\n
Istra\u017eiva\u010di navode nekoliko zaobila\u017eenja za\u0161tite koja su efikasna samo za odre\u0111eni exploit, ali ne re\u0161avaju sam problem. Preporu\u010duje se postavljanje parametra \"\/proc\/sys\/kernel\/unprivileged_userns_clone\" na 0 da bi se zabranilo montiranje direktorijuma u zasebnom prostoru imenskih identifikatora korisnika, kao i \"\/proc\/sys\/kernel\/unprivileged_bpf_disabled\" na 1 da bi se zabranilo u\u010ditavanje eBPF programa u jezgro.