A Qualys biztons\u00e1gi kutat\u00f3i felfedt\u00e9k a Linux kernel \u00e9s a systemd rendszerkezel\u0151n \u00e9rintett k\u00e9t sebezhet\u0151s\u00e9g r\u00e9szleteit. A kernelben l\u00e9v\u0151 sebezhet\u0151s\u00e9g (CVE-2021-33909) lehet\u0151v\u00e9 teszi, hogy egy helyi felhaszn\u00e1l\u00f3 root jogosults\u00e1ggal k\u00f3dot hajtson v\u00e9gre a m\u00e9lyen be\u00e1gyazott k\u00f6nyvt\u00e1rak manipul\u00e1l\u00e1s\u00e1val. <\/p>\n
A sebezhet\u0151s\u00e9g vesz\u00e9ly\u00e9t fokozza, hogy a kutat\u00f3knak siker\u00fclt m\u0171k\u00f6d\u0151 exploitokat k\u00e9sz\u00edteni\u00fck, amelyek az Ubuntu 20.04\/20.10\/21.04, Debian 11 \u00e9s Fedora 34 alap\u00e9rtelmezett konfigur\u00e1ci\u00f3j\u00e1ban is m\u0171k\u00f6dnek. Megjegyzend\u0151, hogy m\u00e1s disztrib\u00faci\u00f3k nem lettek tesztelve, de elm\u00e9letileg \u0151k is \u00e9rintettek lehetnek, \u00edgy t\u00e1madhat\u00f3k. A teljes exploit k\u00f3dj\u00e1t a probl\u00e9ma glob\u00e1lis megsz\u00fcntet\u00e9se ut\u00e1n \u00edg\u00e9rik k\u00f6zz\u00e9, de jelenleg csak egy korl\u00e1tozott funkci\u00f3j\u00fa protot\u00edpus \u00e9rhet\u0151 el, amely rendszer\u00f6sszeoml\u00e1st okoz. A probl\u00e9ma 2014 j\u00faliusa \u00f3ta fenn\u00e1ll, \u00e9s a 3.16 verzi\u00f3t\u00f3l kezd\u0151d\u0151en \u00e9rinti a kernel kiad\u00e1sokat. A sebezhet\u0151s\u00e9g jav\u00edt\u00e1sa a k\u00f6z\u00f6ss\u00e9ggel egy\u00fcttm\u0171k\u00f6dve t\u00f6rt\u00e9nt, \u00e9s j\u00falius 19-\u00e9n ker\u00fclt be a kernelbe. A f\u0151bb disztrib\u00faci\u00f3k m\u00e1r elk\u00e9sz\u00edtett\u00e9k a kernel csomagok friss\u00edt\u00e9seit (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
A sebezhet\u0151s\u00e9g a size_t t\u00edpus int-ra val\u00f3 konvert\u00e1l\u00e1s\u00e1nak eredm\u00e9nye el\u0151tti ellen\u0151rz\u00e9s hi\u00e1ny\u00e1b\u00f3l ered, amely a seq_file k\u00f3dban val\u00f3s\u00edtja meg a f\u00e1jlok l\u00e9trehoz\u00e1s\u00e1t rekordsorozatb\u00f3l. Az ellen\u0151rz\u00e9s hi\u00e1nya lehet\u0151v\u00e9 teheti, hogy a nagyon m\u00e9lyen be\u00e1gyazott k\u00f6nyvt\u00e1rstrukt\u00far\u00e1k (1 GB-n\u00e1l nagyobb \u00fatvonalhosszal) l\u00e9trehoz\u00e1sakor, csatol\u00e1sakor \u00e9s t\u00f6rl\u00e9sekor a pufferen k\u00edv\u00fcli ter\u00fcletre \u00edrjanak. Ennek eredm\u00e9nyek\u00e9nt a t\u00e1mad\u00f3 10 b\u00e1jtos \u201e\/\/deleted\u201d stringet tud \u00edrni a \u201e- 2 GB - 10 byte\u201d eltol\u00e1ssal, amely k\u00f6zvetlen\u00fcl a lefoglalt puffer el\u0151tt l\u00e9v\u0151 ter\u00fcletet jel\u00f6li. <\/p>\n
A k\u00e9sz\u00edtett exploit 5 GB mem\u00f3ri\u00e1t \u00e9s 1 milli\u00f3 szabad inode-ot ig\u00e9nyel. Az exploit m\u0171k\u00f6d\u00e9se abban \u00e1ll, hogy mkdir() h\u00edv\u00e1ssal egy hierarchi\u00e1t hoz l\u00e9tre k\u00f6r\u00fclbel\u00fcl egymilli\u00f3 f\u00e9szkelt k\u00f6nyvt\u00e1rb\u00f3l, hogy el\u00e9rje a f\u00e1jl el\u00e9r\u00e9si \u00fatj\u00e1nak m\u00e9ret\u00e9t, amely meghaladja az 1 GB-ot. Ezt a k\u00f6nyvt\u00e1rat bind-mount seg\u00edts\u00e9g\u00e9vel egy k\u00fcl\u00f6n felhaszn\u00e1l\u00f3i azonos\u00edt\u00f3 n\u00e9vt\u00e9rben csatolj\u00e1k, majd az rmdir() funkci\u00f3t elind\u00edtj\u00e1k a t\u00f6rl\u00e9shez. P\u00e1rhuzamosan egy sz\u00e1l, amely egy kis eBPF programot t\u00f6lt be, \u00fagy blokkol\u00f3dik, hogy az eBPF pszeudok\u00f3d ellen\u0151rz\u00e9se ut\u00e1n, de a JIT ford\u00edt\u00e1s el\u0151tt \u00e1ll. <\/p>\n
A nem privilegiz\u00e1lt felhaszn\u00e1l\u00f3i azonos\u00edt\u00f3 t\u00e9rben megny\u00edlik a \/proc\/self\/mountinfo f\u00e1jl, \u00e9s elkezd\u0151dik a bind-mount seg\u00edts\u00e9g\u00e9vel csatolt k\u00f6nyvt\u00e1r hossz\u00fa \u00fatvonal\u00e1nak olvas\u00e1sa, ami arra vezet, hogy a \u201e\/\/deleted\u201d stringet a puffer kezdete el\u0151tti ter\u00fcletre \u00edrj\u00e1k. A string \u00edr\u00e1s\u00e1nak poz\u00edci\u00f3j\u00e1t \u00fagy v\u00e1lasztj\u00e1k meg, hogy fel\u00fcl\u00edrja az el\u0151re ellen\u0151rz\u00f6tt, de m\u00e9g nem leford\u00edtott eBPF program utas\u00edt\u00e1s\u00e1t. <\/p>\n
Ezut\u00e1n az eBPF program szintj\u00e9n a pufferen k\u00edv\u00fcli ellen\u0151rizetlen \u00edr\u00e1s kezelhet\u0151 olvas\u00e1si \u00e9s \u00edr\u00e1si lehet\u0151s\u00e9gg\u00e9 alakul \u00e1t m\u00e1s kernel strukt\u00far\u00e1kba t\u00f6rt\u00e9n\u0151 manipul\u00e1ci\u00f3 r\u00e9v\u00e9n a btf \u00e9s a map_push_elem strukt\u00far\u00e1kon kereszt\u00fcl. Ennek eredm\u00e9nyek\u00e9nt az exploit meghat\u00e1rozza a modprobe_path[] puffer hely\u00e9t a kernel mem\u00f3ri\u00e1j\u00e1ban, \u00e9s a \u201e\/sbin\/modprobe\u201d \u00fatvonalat \u00edrja fel\u00fcl benne, lehet\u0151v\u00e9 t\u00e9ve ezzel b\u00e1rmely v\u00e9grehajthat\u00f3 f\u00e1jl root jogosults\u00e1gokkal t\u00f6rt\u00e9n\u0151 elind\u00edt\u00e1s\u00e1t, amikor a request_module() h\u00edv\u00e1s t\u00f6rt\u00e9nik, amely p\u00e9ld\u00e1ul netlink socket l\u00e9trehoz\u00e1sakor t\u00f6rt\u00e9nik. <\/p>\n
A kutat\u00f3k n\u00e9h\u00e1ny, a v\u00e9delem megker\u00fcl\u00e9s\u00e9re ir\u00e1nyul\u00f3 m\u00f3dszert javasolnak, amelyek csak a konkr\u00e9t exploit ellen hat\u00e9konyak, de nem oldj\u00e1k meg a probl\u00e9m\u00e1t. Aj\u00e1nlott be\u00e1ll\u00edtani a \u201e\/proc\/sys\/kernel\/unprivileged_userns_clone\u201d param\u00e9tert 0-ra a k\u00f6nyvt\u00e1rak k\u00fcl\u00f6n felhaszn\u00e1l\u00f3i azonos\u00edt\u00f3 t\u00e9rben val\u00f3 csatol\u00e1s\u00e1nak megakad\u00e1lyoz\u00e1s\u00e1ra, valamint a \u201e\/proc\/sys\/kernel\/unprivileged_bpf_disabled\u201d \u00e9rt\u00e9k\u00e9t 1-re az eBPF programok kernelbe val\u00f3 bet\u00f6lt\u00e9s\u00e9nek megakad\u00e1lyoz\u00e1s\u00e1ra.