Nel kernel di Linux \u00e8 stata identificata la quinta vulnerabilit\u00e0 critica (1, 2, 3) nelle ultime due settimane, che consente a un utente di elevare i propri privilegi nel sistema. Sono stati pubblicati due exploit funzionanti: sshkeysign_pwn consente a un utente non privilegiato di leggere il contenuto delle chiavi SSH host riservate in \/etc\/ssh\/ssh_host_*_key, mentre chage_pwn - permette di leggere il contenuto del file \/etc\/shadow contenente gli hash delle password degli utenti. <\/p>\n
Le informazioni sulla vulnerabilit\u00e0 non erano pianificate per la divulgazione, ma uno dei ricercatori sulla sicurezza \u00e8 riuscito a identificare la natura della vulnerabilit\u00e0 basandosi su una patch proposta per il kernel, la quale permette di leggere file accessibili solo all'utente root, come ad esempio \/etc\/shadow. Nella modifica apportata al kernel \u00e8 stata corretta la logica di utilizzo della funzione get_dumpable() in ptrace durante la determinazione del livello di accesso nella funzione ptrace_may_access(). <\/p>\n
La vulnerabilit\u00e0 \u00e8 direttamente causata da una condizione di race che consente l'accesso non privilegiato a un descrittore di file pidfd dopo aver aperto un file dal processo suid root. Nel momento tra l'apertura del file e il ripristino dei privilegi nel programma suid (ad esempio, tramite la funzione setreuid), si verifica una situazione in cui l'applicazione che ha avviato il programma suid root pu\u00f2 accedere, tramite il descrittore pidfd, a un file aperto nel programma suid, anche se i diritti di accesso sul file non lo consentono. <\/p>\n
La finestra di sfruttamento si verifica perch\u00e9 la funzione \u00ab__ptrace_may_access()\u00bb salta il controllo per la possibilit\u00e0 di accesso al file, se il campo task->mm viene impostato a NULL dopo l'esecuzione di exit_mm(), ma prima della chiamata a exit_files(). Attualmente, la chiamata di sistema pidfd_getfd presume che l'identificativo utente (uid) del processo invocante corrisponda a quello a cui \u00e8 consentito l'accesso al file. \u00c8 notevole che il problema fosse gi\u00e0 stato segnalato nel 2020, ma \u00e8 rimasto irrisolto. <\/p>\n
Nell'exploit che ottiene il contenuto di \/etc\/shadow, l'attacco consiste nel lanciare ciclicamente tramite fork+execl l'applicazione \/usr\/bin\/chage con il flag suid root, che legge il contenuto di \/etc\/shadow. Dopo che il processo \u00e8 stato biforcato, viene eseguita la chiamata di sistema pidfd_open e viene attuato un ciclo di scansione dei descrittori pidfd disponibili tramite la chiamata di sistema pidfd_getfd e la loro verifica tramite \/proc\/self\/fd. Nell'exploit sshkeysign_pwn manovre simili vengono effettuate con il programma suid root ssh-keysign. <\/p>\n
Al momento non \u00e8 stato assegnato identificatore CVE al problema, e non sono stati pubblicati aggiornamenti del kernel e dei pacchetti nelle distribuzioni. Nei kernel rilasciati poche ore fa, 7.0.7, 6.18.30 e 6.12.88, la vulnerabilit\u00e0 non \u00e8 stata risolta. Al momento della scrittura dell'ultimo aggiornamento, \u00e8 possibile utilizzare solo una patch. Sono in discussione possibili soluzioni per bloccare la vulnerabilit\u00e0, come impostare sysctl kernel.yama.ptrace_scope=3 o rimuovere il flag suid root dai file eseguibili nel sistema (almeno per gli strumenti ssh-keysign e chage utilizzati negli exploit).