פגיעות בליבת לינוקס שיכולה להתעסק בקבצים לקריאה בלבד

זוהתה פגיעות בליבת לינוקס (CVE-2022-0847) המאפשרת להחליף את התוכן של מטמון העמוד עבור כל קבצים, כולל אלה במצב קריאה בלבד, שנפתחו עם דגל O_RDONLY, או ממוקמים במערכות קבצים מותקן במצב קריאה בלבד. מבחינה מעשית, ניתן להשתמש בפגיעות כדי להחדיר קוד לתהליכים שרירותיים או להרוס נתונים בקבצים שנפתחו. לדוגמה, אתה יכול לשנות את התוכן של קובץ authorized_keys עבור תהליך sshd. אב טיפוס של הניצול זמין לבדיקה.

הבעיה קיבלה את שם הקוד Dirty Pipe, בדומה לפגיעות הקריטית Dirty COW שזוהתה ב-2016. יצוין כי מבחינת רמת הסכנה, Dirty Pipe נמצא באותה רמה כמו Dirty COW, אך הרבה יותר קל לתפעול. הפגיעות זוהתה במהלך ניתוח תלונות על השחתה תקופתית של קבצים שהורדו ברשת במערכת שמורידה ארכיונים דחוסים משרת יומנים (37 פגמים ב-3 חודשים במערכת טעונה), שהכנתם השתמשה בפעולת splice() וצינורות ללא שם.

הפגיעות מופיעה החל מליבת לינוקס 5.8, ששוחררה באוגוסט 2020, כלומר. קיים בדביאן 11, אך אינו משפיע על ליבת הבסיס באובונטו 20.04 LTS. הגרעינים של RHEL 8.x ו-openSUSE/SUSE 15 מבוססים בתחילה על ענפים ישנים, אך ייתכן שהשינוי שגרם לבעיה הועבר אליהם בחזרה (עדיין אין נתונים מדויקים). אתה יכול לעקוב אחר פרסום עדכוני החבילות בהפצות בדפים אלה: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. תיקון לפגיעות הוצע במהדורות 5.16.11, 5.15.25 ו-5.10.102. התיקון כלול גם בקרנל המשמש בפלטפורמת אנדרואיד.

הפגיעות נגרמת מהיעדר אתחול של ערך "buf->flags" בקוד של הפונקציות copy_page_to_iter_pipe() ו-push_pipe(), למרות העובדה שהזיכרון אינו מנוקה בעת הקצאת מבנה ובמהלך מניפולציות מסוימות עם צינורות ללא שם, ערך מפעולה אחרת. באמצעות תכונה זו, משתמש מקומי ללא הרשאות יכול להשיג את המראה של הערך PIPE_BUF_FLAG_CAN_MERGE בדגל, מה שמאפשר לך לארגן החלפת נתונים במטמון הדף פשוט על ידי כתיבת נתונים חדשים לצינור ללא שם שהוכן במיוחד.

עבור התקפה, קובץ המטרה חייב להיות קריא, ומכיוון שזכויות הגישה אינן נבדקות בעת כתיבה ל-pipe, ניתן לבצע החלפה במטמון העמודים גם עבור קבצים הממוקמים במחיצות רכובות לקריאה בלבד (לדוגמה, עבור קבצים c CD- ROM). לאחר החלפת המידע במטמון העמוד, בעת קריאת נתונים מקובץ, התהליך יקבל לא את הנתונים בפועל, אלא את הנתונים שהוחלפו.

הפעולה מסתכמת ביצירת ערוץ ללא שם ומילויו בנתונים שרירותיים על מנת להבטיח שדגל PIPE_BUF_FLAG_CAN_MERGE מוגדר בכל מבני הטבעת המשויכים אליו. לאחר מכן, הנתונים נקראים מהערוץ, אך הדגל נשאר מוגדר בכל המקרים של מבנה pipe_buffer במבני הטבעת pipe_inode_info. לאחר מכן מתבצעת קריאה ל-splice() כדי לקרוא נתונים מקובץ היעד לתוך צינור ללא שם, החל בהיסט הרצוי. בעת כתיבת נתונים לצינור ללא שם זה, עקב הגדרת הדגל PIPE_BUF_FLAG_CAN_MERGE, הנתונים במטמון העמוד יוחלפו במקום ליצור מופע חדש של מבנה ה-pipe_buffer.

מקור: OpenNet.ru