{"id":107498,"date":"2023-03-24T12:48:20","date_gmt":"2023-03-24T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=107498"},"modified":"2023-03-24T20:21:30","modified_gmt":"2023-03-24T18:21:30","slug":"uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","title":{"rendered":"Vulnerabilit\u00e0 in OverlayFS che consente di elevare i propri privilegi.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel kernel di Linux, nell'implementazione del file system OverlayFS, \u00e8 stata individuata una vulnerabilit\u00e0 (CVE-2023-0386) che pu\u00f2 essere sfruttata per ottenere l'accesso root su sistemi in cui \u00e8 installato il sottosistema FUSE e dove \u00e8 consentito il montaggio di partizioni OverlayFS da parte di un utente non privilegiato (a partire dal kernel Linux 5.11 con l'inclusione di spazi dei nomi utente non privilegiati). Il problema \u00e8 stato risolto nel ramo del kernel 6.2. \u00c8 possibile rintracciare la pubblicazione degli aggiornamenti dei pacchetti nelle distribuzioni alle seguenti pagine: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch. <\/p>\n
L'attacco avviene attraverso la copia di file con flag setgid\/setuid da una partizione montata in modalit\u00e0 nosuid, a una partizione OverlayFS, che ha uno strato collegato a una partizione che consente l'esecuzione di file suid. La vulnerabilit\u00e0 \u00e8 simile al problema CVE-2021-3847, identificato nel 2021, ma presenta requisiti di sfruttamento inferiori: nel caso precedente si richiedevano manipolazioni con xattrs, che sono limitate nell'uso degli spazi dei nomi degli identificatori utente (user namespace), mentre nel nuovo problema si usano i bit setgid\/setuid, che non sono gestiti specificamente nell'user namespace. <\/p>\n
L'algoritmo per effettuare l'attacco: <\/p>\n
\n
Viene montato un filesystem tramite il sottosistema FUSE, in cui \u00e8 presente un file eseguibile appartenente all'utente root con flag setuid\/setgid, accessibile in scrittura a tutti gli utenti. Quando si monta il FUSE, quest'ultimo imposta la modalit\u00e0 \u201cnosuid\u201d.\n
Vengono annullati (unshare) gli spazi dei nomi degli utenti e dei punti di montaggio (user\/mount namespace).\n
Viene montato un OverlayFS specificando il filesystem precedentemente creato in FUSE come strato inferiore e uno strato superiore basato su una directory che consente operazioni di scrittura. La directory dello strato superiore deve trovarsi in un filesystem montato senza l'uso del flag \u201cnosuid\u201d.\n
Per il file suid nella partizione FUSE, l'utilit\u00e0 touch modifica il timestamp di modifica, portando alla sua copia nello strato superiore di OverlayFS.\n
Durante la copia, il kernel non rimuove i flag setgid\/setuid, il che porta al fatto che il file appare in una partizione che consente la gestione dei setgid\/setuid.\n
Per ottenere i diritti root \u00e8 sufficiente eseguire il file con i flag setgid\/setuid dalla directory collegata allo strato superiore di OverlayFS. <\/ul>\n
Inoltre, si segnala la divulgazione da parte dei ricercatori del Google Project Zero di tre vulnerabilit\u00e0 che sono state corrette nel ramo principale del kernel Linux 5.15, ma non sono state trasferite nei pacchetti del kernel di RHEL 8.x\/9.x e CentOS Stream 9. <\/p>\n
\n
CVE-2023-1252 \u2014 accesso a una porzione di memoria gi\u00e0 liberata nella struttura ovl_aio_req durante l'esecuzione simultanea di pi\u00f9 operazioni in OverlayFS, implementato sopra un filesystem Ext4. La vulnerabilit\u00e0 potrebbe potenzialmente consentire l'elevazione dei privilegi nel sistema.\n
CVE-2023-0590 \u2014 accesso a una porzione di memoria gi\u00e0 liberata nella funzione qdisc_graft(). Si presume che lo sfruttamento sia limitato a crash del sistema.\n
CVE-2023-1249 \u2014 accesso a una porzione di memoria gi\u00e0 liberata nel codice di scrittura del coredump, che si verifica a causa di una chiamata mmap_lock mancante in file_files_note. Si presume che lo sfruttamento sia limitato a crash del sistema. <\/ul>\n