I ricercatori della sicurezza di Qualys hanno rivelato i dettagli di due vulnerabilit\u00e0 che interessano il kernel Linux e il gestore di sistema systemd. La vulnerabilit\u00e0 nel kernel (CVE-2021-33909) consente a un utente locale di ottenere l'esecuzione di codice con privilegi di root manipolando directory profonde. <\/p>\n
Il pericolo della vulnerabilit\u00e0 \u00e8 aggravato dal fatto che i ricercatori sono riusciti a preparare exploit funzionanti per Ubuntu 20.04\/20.10\/21.04, Debian 11 e Fedora 34 con la configurazione di default. Si segnala che altre distribuzioni non sono state testate, ma teoricamente possono anch'esse essere vulnerabili e attaccate. Il codice completo degli exploit verr\u00e0 pubblicato dopo la risoluzione diffusa del problema, mentre attualmente \u00e8 disponibile solo un prototipo limitato che causa il crash del sistema. Il problema \u00e8 emerso nel luglio 2014 e interessa le versioni del kernel a partire dalla 3.16. La correzione della vulnerabilit\u00e0 \u00e8 stata coordinata con la comunit\u00e0 e inclusa nel kernel il 19 luglio. Le principali distribuzioni hanno gi\u00e0 preparato aggiornamenti dei pacchetti con il kernel (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata dall'assenza di un controllo sul risultato della conversione del tipo size_t in int prima di eseguire operazioni nel codice seq_file, che crea file da una sequenza di registrazioni. La mancanza di controllo pu\u00f2 portare a scritture oltre i confini del buffer durante la creazione, il montaggio e la rimozione di strutture di directory con un livello di annidamento molto elevato (dimensione del percorso superiore a 1 GB). Di conseguenza, un aggressore pu\u00f2 ottenere la scrittura di una stringa di 10 byte \u00ab\/\/deleted\u00bb con uno spostamento \u00ab- 2 GB \u2014 10 byte\u00bb, che indica un'area immediatamente precedente il buffer allocato. <\/p>\n
L'exploit preparato richiede 5 GB di memoria e 1 milione di inode liberi. Il funzionamento dell'exploit consiste nella creazione, tramite la chiamata mkdir(), di un'altezza di circa un milione di directory annidate per raggiungere una dimensione del percorso file superiore a 1 GB. Questa directory viene montata attraverso un bind-mount in uno spazio dei nomi degli identificatori utente (user namespace) separato, dopodich\u00e9 viene eseguita la funzione rmdir() per la sua eliminazione. Contemporaneamente, viene creato un thread che carica un piccolo programma eBPF, il quale si blocca nella fase successiva alla verifica del pseudocodice eBPF, ma prima della sua JIT-compilazione. <\/p>\n
In uno spazio dei nomi non privilegiato degli identificatori utente, viene aperto il file \/proc\/self\/mountinfo e inizia la lettura di un lungo percorso della directory montata tramite bind-mount, il che provoca la scrittura della stringa \u00ab\/\/deleted\u00bb in un'area prima dell'inizio del buffer. La posizione per la scrittura della stringa viene scelta in modo tale da sovrascrivere un'istruzione in un programma eBPF gi\u00e0 controllato, ma non ancora compilato. <\/p>\n
Successivamente, a livello del programma eBPF, la scrittura non controllata oltre il buffer si trasforma in una possibilit\u00e0 controllata di lettura e scrittura in altre strutture del kernel attraverso la manipolazione delle strutture btf e map_push_elem. Di conseguenza, l'exploit determina la posizione del buffer modprobe_path[] nella memoria del kernel e lo sovrascrive con il percorso \u00ab\/sbin\/modprobe\u00bb, il che consente di avviare qualsiasi file eseguibile con privilegi di root in caso di chiamata request_module(), che viene eseguita, ad esempio, durante la creazione di un socket netlink. <\/p>\n
I ricercatori presentano diversi metodi di aggiramento della protezione, che sono efficaci solo per un exploit specifico, ma non risolvono il problema stesso. Si raccomanda di impostare il parametro \u00ab\/proc\/sys\/kernel\/unprivileged_userns_clone\u00bb a 0 per vietare il montaggio di directory in uno spazio dei nomi degli identificatori utente separato, e \u00ab\/proc\/sys\/kernel\/unprivileged_bpf_disabled\u00bb a 1 per vietare il caricamento di programmi eBPF nel kernel.