פגיעויות בליבת לינוקס מנוצלות מרחוק באמצעות Bluetooth

זוהתה פגיעות (CVE-2022-42896) בליבת הלינוקס, שיכולה לשמש לארגון ביצוע קוד מרחוק ברמת הליבה על ידי שליחת חבילת L2CAP שתוכננה במיוחד באמצעות Bluetooth. בנוסף, זוהתה בעיה דומה נוספת (CVE-2022-42895) במטפל L2CAP, מה שעלול להוביל לדליפה של תוכן זיכרון הליבה במנות עם מידע תצורה. הפגיעות הראשונה מופיעה מאז אוגוסט 2014 (קרנל 3.16), והשנייה מאז אוקטובר 2011 (קרנל 3.0). הפגיעויות טופלו במהדורות ליבת לינוקס 6.1.0, 6.0.8, 4.9.333, 4.14.299, 4.19.265, 5.4.224, 5.10.154 ו-5.15.78. אתה יכול לעקוב אחר התיקונים בהפצות בדפים הבאים: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

כדי להדגים את האפשרות לבצע תקיפה מרחוק, פורסמו ניצול אב טיפוס שעובד על אובונטו 22.04. כדי לבצע תקיפה, התוקף חייב להיות בטווח Bluetooth - אין צורך בהתאמה מראש, אבל Bluetooth חייב להיות פעיל במחשב. להתקפה, מספיק לדעת את כתובת ה-MAC של המכשיר של הקורבן, אותה ניתן לקבוע על ידי רחרוח או, במכשירים מסוימים, לחשב על סמך כתובת ה-MAC של ה-Wi-Fi.

הפגיעות הראשונה (CVE-2022-42896) נגרמת על ידי גישה לאזור זיכרון פנוי כבר (use-after-free) ביישום של הפונקציות l2cap_connect ו-l2cap_le_connect_req - לאחר יצירת ערוץ דרך ה-new_connection callback, לא הוגדר נעילה עבורו, אך נקבע טיימר (__set_chan_timer ), עם פקיעת הזמן הקצוב, קריאה לפונקציית l2cap_chan_timeout וניקוי הערוץ מבלי לבדוק את השלמת העבודה עם הערוץ בפונקציות l2cap_le_connect*.

פסק הזמן המוגדר כברירת מחדל הוא 40 שניות וההנחה הייתה שמצב מירוץ לא יכול להתרחש עם עיכוב כזה, אך התברר כי עקב שגיאה נוספת במטפל SMP, ניתן היה להשיג קריאה מיידית לטיימר ולהשיג מצב Race. בעיה ב-l2cap_le_connect_req יכולה להוביל לדליפת זיכרון ליבה, וב-l2cap_connect היא עלולה להוביל להחלפת תוכן הזיכרון ולביצוע הקוד שלו. סוג ההתקפה הראשון יכול להתבצע באמצעות Bluetooth LE 4.0 (מאז 2009), השני באמצעות Bluetooth BR/EDR 5.2 (מאז 2020).

הפגיעות השנייה (CVE-2022-42895) נגרמת על ידי דליפת זיכרון שיורית בפונקציה l2cap_parse_conf_req, שניתן להשתמש בה כדי לקבל מרחוק מידע על מצביעים למבני ליבה על ידי שליחת בקשות תצורה בעלות מבנה מיוחד. הפונקציה l2cap_parse_conf_req השתמשה במבנה l2cap_conf_efs, שעבורו הזיכרון שהוקצה לא אותחל מראש ועל ידי מניפולציה של הדגל FLAG_EFS_ENABLE ניתן היה לכלול נתונים ישנים מהמחסנית בחבילה. הבעיה מופיעה רק במערכות שבהן הליבה בנויה עם אפשרות CONFIG_BT_HS (מושבתת כברירת מחדל, אך מופעלת בהפצות מסוימות, כמו אובונטו). התקפה מוצלחת מחייבת גם להגדיר את הפרמטר HCI_HS_ENABLED דרך ממשק הניהול כ-true (לא בשימוש כברירת מחדל).

מקור: OpenNet.ru