I ricercatori di sicurezza di Qualys hanno rivelato i dettagli di due vulnerabilit\u00e0 che interessano il kernel Linux e il gestore di sistema systemd. La vulnerabilit\u00e0 nel kernel (CVE-2021-33909) consente a un utente locale di ottenere l'esecuzione di codice con privilegi di root manipolando directory di alta profondit\u00e0. <\/p>\n
La gravit\u00e0 della vulnerabilit\u00e0 \u00e8 aggravata dal fatto che i ricercatori sono riusciti a preparare exploit funzionanti che operano su Ubuntu 20.04\/20.10\/21.04, Debian 11 e Fedora 34 nelle configurazioni predefinite. Si segnala che altre distribuzioni non sono state testate, ma teoricamente sono ugualmente vulnerabili e potrebbero essere attaccate. Il codice completo degli exploit sar\u00e0 pubblicato dopo che il problema sar\u00e0 stato risolto su larga scala, mentre attualmente \u00e8 disponibile solo un prototipo limitato nelle funzionalit\u00e0 che causa il crash del sistema. Il problema \u00e8 presente dal luglio 2014 e interessa le versioni del kernel a partire dalla 3.16. La correzione della vulnerabilit\u00e0 \u00e8 stata coordinata con la comunit\u00e0 ed \u00e8 stata integrata nel kernel il 19 luglio. Le principali distribuzioni hanno gi\u00e0 creato aggiornamenti dei pacchetti del kernel (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata dalla mancanza di controllo del risultato della conversione da size_t a int prima di eseguire operazioni nel codice seq_file, che crea file da una sequenza di record. La mancanza di controllo pu\u00f2 portare alla scrittura in un'area al di fuori dei confini del buffer durante la creazione, il montaggio e la rimozione di una struttura di directory con un livello di nidificazione molto elevato (dimensione del percorso maggiore di 1 GB). Di conseguenza, un attaccante pu\u00f2 ottenere la scrittura di una stringa di 10 byte «\\\/deleted» con uno spostamento «- 2 GB — 10 byte», indicando un'area che precede direttamente il buffer allocato. <\/p>\n
L'exploit preparato richiede 5 GB di memoria e 1 milione di inode liberi. L'exploit si riduce alla creazione di una gerarchia di circa un milione di directory annidate tramite una chiamata mkdir() per raggiungere una dimensione del percorso del file superiore a 1 GB. Questa directory \u00e8 montata tramite bind-mount in un namespace utente separato, dopodich\u00e9 viene invocata la funzione rmdir() per la sua eliminazione. Parallelamente, viene creato un thread che carica un piccolo programma eBPF, che si blocca nella fase successiva al controllo del pseudocodice eBPF, ma prima della sua compilazione JIT. <\/p>\n
In uno spazio di nomi non privilegiato, si apre il file \\\/proc\\\/self\\\/mountinfo e si inizia a leggere un lungo percorso di directory montato tramite bind-mount, il che porta alla scrittura della stringa «\\\/deleted» in un'area prima dell'inizio del buffer. La posizione per la scrittura della stringa viene scelta in modo tale da sovrascrivere un'istruzione in un programma gi\u00e0 verificato ma non ancora compilato dell'eBPF. <\/p>\n
Successivamente, a livello del programma eBPF, una scrittura non controllata al di fuori del buffer viene trasformata in una possibilit\u00e0 controllata di lettura e scrittura in altre strutture del kernel attraverso la manipolazione delle strutture btf e map_push_elem. Di conseguenza, l'exploit determina la posizione del buffer modprobe_path[] in memoria del kernel e sovrascrive al suo interno il percorso «\\\/sbin\\\/modprobe», consentendo l'avvio di qualsiasi file eseguibile con i diritti di root nel caso in cui venga eseguita una chiamata request_module(), che avviene, ad esempio, durante la creazione di un socket netlink. <\/p>\n
I ricercatori forniscono diverse soluzioni alternative di protezione, efficaci solo per specifici exploit, ma non risolvono il problema fondamentale. Si raccomanda di impostare il parametro «\\\/proc\\\/sys\\\/kernel\\\/unprivileged_userns_clone» su 0 per vietare il montaggio di directory in uno spazio di nomi degli identificatori utente separato e di impostare «\\\/proc\\\/sys\\\/kernel\\\/unprivileged_bpf_disabled» su 1 per vietare il caricamento di programmi eBPF nel kernel.