{"id":99693,"date":"2021-04-09T16:22:51","date_gmt":"2021-04-09T14:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-podsisteme-ebpf-yadra-linux"},"modified":"2021-04-09T16:22:51","modified_gmt":"2021-04-09T14:22:51","slug":"uyazvimosti-v-podsisteme-ebpf-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimosti-v-podsisteme-ebpf-yadra-linux","title":{"rendered":"Vulnerabilit\u00e0 nel sottosistema eBPF del kernel Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel sottosistema eBPF, che consente di eseguire gestori per il tracciamento, l'analisi delle prestazioni delle sottosistemi e la gestione del traffico, eseguiti all'interno del kernel Linux in una speciale macchina virtuale con JIT, \u00e8 stata identificata una vulnerabilit\u00e0 (CVE-2021-29154) che consente a un utente locale di eseguire codice a livello di kernel. Il problema si manifesta fino alla versione 5.11.12 (inclusa) e non \u00e8 ancora stato corretta nelle distribuzioni (Debian, Ubuntu, RHEL, Fedora, SUSE, Arch). La correzione \u00e8 disponibile sotto forma di patch. <\/p>\n
Secondo i ricercatori che hanno identificato la vulnerabilit\u00e0, sono riusciti a sviluppare un prototipo funzionante di exploit per sistemi 32 e 64 bit x86, che pu\u00f2 essere utilizzato da un utente non privilegiato. Tuttavia, la Red Hat osserva che il pericolo del problema dipende dalla disponibilit\u00e0 alla chiamata di sistema eBPF per l'utente. Ad esempio, in RHEL e nella maggior parte delle altre distribuzioni Linux nella configurazione predefinita, la vulnerabilit\u00e0 pu\u00f2 essere sfruttata se BPF JIT \u00e8 abilitato e l'utente dispone dei diritti CAP_SYS_ADMIN. Come misura di protezione, si raccomanda di disabilitare BPF JIT usando il comando: echo 0 > \/proc\/sys\/net\/core\/bpf_jit_enable <\/p>\n
Il problema \u00e8 causato da un errore nel calcolo dello spostamento per i comandi di branching durante la generazione di codice macchina da parte del compilatore JIT. In particolare, nella generazione delle istruzioni di branching non si tiene conto del fatto che lo spostamento pu\u00f2 cambiare dopo la fase di ottimizzazione. Questo difetto pu\u00f2 essere sfruttato per generare codice macchina anomalo e eseguirlo a livello di kernel. <\/p>\n
\u00c8 interessante notare che questa non \u00e8 l'unica vulnerabilit\u00e0 nel sottosistema eBPF recentemente. A fine marzo, sono state identificate altre due vulnerabilit\u00e0 nel kernel (CVE-2020-27170, CVE-2020-27171), che consentono di utilizzare eBPF per aggirare le difese contro le vulnerabilit\u00e0 di tipo Spectre, permettendo di determinare il contenuto della memoria del kernel a seguito della creazione di condizioni per l'esecuzione speculativa di determinate operazioni. Per un attacco Spectre \u00e8 necessaria la presenza di una specifica sequenza di comandi nel codice privilegiato, che porta all'esecuzione speculativa delle istruzioni. Sono stati trovati diversi modi di generare tali istruzioni attraverso manipolazioni con i programmi BPF inviati per l'esecuzione. <\/p>\n
La vulnerabilit\u00e0 CVE-2020-27170 \u00e8 causata dalla presenza di manipolazioni dei puntatori nel verificatore BPF, che provocano operazioni speculative che accedono a aree al di fuori dei limiti del buffer. La vulnerabilit\u00e0 CVE-2020-27171 \u00e8 legata a un errore di aritmetica intera (underflow) nella gestione dei puntatori, che porta a accessi speculativi a dati al di fuori del buffer. I problemi sopra menzionati sono stati gi\u00e0 risolti nelle versioni del kernel 5.11.8, 5.10.25, 5.4.107, 4.19.182 e 4.14.227, e sono stati inclusi negli aggiornamenti del kernel della maggior parte delle distribuzioni Linux. I ricercatori hanno preparato un prototipo di exploit che consente a un utente non privilegiato di estrarre dati dalla memoria del kernel. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"