ភាពងាយរងគ្រោះនៅក្នុង cgroups v1 ដែលអនុញ្ញាតឱ្យគេចចេញពីកុងតឺន័រដាច់ដោយឡែក

ព័ត៌មានលម្អិតនៃភាពងាយរងគ្រោះ (CVE-2022-0492) នៅក្នុងការអនុវត្តយន្តការកំណត់ធនធាន cgroups v1 នៅក្នុងខឺណែលត្រូវបានបង្ហាញ។ Linuxដែលអាចត្រូវបានប្រើដើម្បីគេចចេញពីកុងតឺន័រដាច់ដោយឡែក។ បញ្ហានេះបង្ហាញឱ្យឃើញដោយចាប់ផ្តើមជាមួយខឺណែល។ Linux 2.6.24 និង​ត្រូវ​បាន​ជួសជុល​នៅ​ក្នុង​ការ​ចេញ​ផ្សាយ​ខឺណែល 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 និង 4.9.301។ អ្នក​អាច​តាមដាន​ការ​ចេញ​ផ្សាយ​នៃ​ការ​អាប់ដេត​កញ្ចប់​នៅ​ក្នុង​ការ​ចែកចាយ​នៅ​លើ​ទំព័រ​ទាំង​នេះ៖ Debian, ស៊ូស៊ី, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

ភាពងាយរងគ្រោះគឺដោយសារតែបញ្ហាតក្កវិជ្ជានៅក្នុងកម្មវិធីដោះស្រាយឯកសារ release_agent ដែលបរាជ័យក្នុងការត្រួតពិនិត្យត្រឹមត្រូវនៅពេលដំណើរការកម្មវិធីគ្រប់គ្រងដោយសិទ្ធិពេញលេញ។ ឯកសារ release_agent ត្រូវបានប្រើដើម្បីកំណត់កម្មវិធីដែលត្រូវប្រតិបត្តិដោយខឺណែល នៅពេលដែលដំណើរការនៅក្នុង cgroup ត្រូវបានបញ្ចប់។ កម្មវិធីនេះដំណើរការជា root និងជាមួយ "សមត្ថភាព" ទាំងអស់នៅក្នុង root namespace ។ វាត្រូវបានសន្មត់ថាមានតែអ្នកគ្រប់គ្រងប៉ុណ្ណោះដែលមានសិទ្ធិចូលប្រើការកំណត់ release_agent ប៉ុន្តែតាមពិតការត្រួតពិនិត្យត្រូវបានកំណត់ចំពោះការផ្តល់សិទ្ធិចូលប្រើទៅកាន់អ្នកប្រើប្រាស់ root ដែលមិនរាប់បញ្ចូលការកំណត់ដែលត្រូវបានផ្លាស់ប្តូរពីកុងតឺន័រ ឬដោយអ្នកប្រើប្រាស់ root ដោយគ្មានសិទ្ធិជាអ្នកគ្រប់គ្រង (CAP_SYS_ADMIN )

ពីមុន មុខងារបែបនេះនឹងមិនត្រូវបានគេយល់ថាជាភាពងាយរងគ្រោះនោះទេ ប៉ុន្តែស្ថានភាពបានផ្លាស់ប្តូរជាមួយនឹងការមកដល់នៃ user namespaces (user namespaces) ដែលអនុញ្ញាតឱ្យអ្នកបង្កើត root user ដាច់ដោយឡែកនៅក្នុង containers ដែលមិនជាន់គ្នាជាមួយនឹង root user នៃ បរិស្ថានសំខាន់។ ដូច្នោះហើយ សម្រាប់ការវាយប្រហារ វាគឺគ្រប់គ្រាន់ដើម្បីភ្ជាប់អ្នកដោះស្រាយ release_agent របស់អ្នកនៅក្នុងកុងតឺន័រដែលមានអ្នកប្រើប្រាស់ root ផ្ទាល់ខ្លួននៅក្នុងចន្លោះ ID អ្នកប្រើប្រាស់ដាច់ដោយឡែក ដែលបន្ទាប់ពីបញ្ចប់ដំណើរការនេះនឹងត្រូវបានប្រតិបត្តិដោយសិទ្ធិពេញលេញនៃបរិស្ថានចម្បង។

តាមលំនាំដើម cgroupfs ត្រូវបានម៉ោននៅក្នុងកុងតឺន័រក្នុងរបៀបបានតែអាន ប៉ុន្តែមិនមានបញ្ហាក្នុងការភ្ជាប់ឯកសារក្លែងក្លាយនេះឡើងវិញក្នុងរបៀបសរសេរទេ ប្រសិនបើអ្នកមានសិទ្ធិ CAP_SYS_ADMIN ឬដោយបង្កើតកុងតឺន័រដែលបានដាក់ដោយដាក់ឈ្មោះអ្នកប្រើប្រាស់ដាច់ដោយឡែកដោយប្រើការហៅប្រព័ន្ធមិនចែករំលែក ដែលក្នុងនោះ សិទ្ធិ CAP_SYS_ADMIN មានសម្រាប់កុងតឺន័រដែលបានបង្កើត។

ការវាយប្រហារអាចត្រូវបានអនុវត្តជាមួយសិទ្ធិជា root នៅក្នុងកុងតឺន័រដាច់ដោយឡែក ឬនៅពេលដំណើរការកុងតឺន័រដោយគ្មានទង់ no_new_privs ដែលរារាំងសិទ្ធិបន្ថែមពីការត្រូវបានផ្តល់ឱ្យ។ namespaces អ្នកប្រើប្រាស់ត្រូវតែបើកដំណើរការនៅលើប្រព័ន្ធ (បើកដំណើរការតាមលំនាំដើមនៅក្នុង Ubuntu និង Fedora ប៉ុន្តែមិនត្រូវបានធ្វើឱ្យសកម្មនៅក្នុង Debian និង RHEL) និងការចូលប្រើ root cgroup v1 (ឧទាហរណ៍ Docker ដំណើរការកុងតឺន័រនៅក្នុង root RDMA cgroup)។ ការវាយប្រហារនេះក៏អាចធ្វើទៅបានជាមួយសិទ្ធិ CAP_SYS_ADMIN ផងដែរ ដែលក្នុងករណីនេះការគាំទ្រ namespace អ្នកប្រើប្រាស់ និងការចូលប្រើឋានានុក្រម root cgroup v1 មិនត្រូវបានទាមទារទេ។

បន្ថែមពីលើការគេចចេញពីកុងតឺន័រដាច់ដោយឡែក ភាពងាយរងគ្រោះក៏អនុញ្ញាតឱ្យដំណើរការដំណើរការដោយអ្នកប្រើប្រាស់ root ដោយគ្មាន "សមត្ថភាព" ឬអ្នកប្រើប្រាស់ណាមួយដែលមានសិទ្ធិ CAP_DAC_OVERRIDE (ការវាយប្រហារទាមទារសិទ្ធិចូលប្រើឯកសារ /sys/fs/cgroup/*/release_agent ដែលជា ជាកម្មសិទ្ធិរបស់ root) ដើម្បីទទួលបាន "សមត្ថភាព" ជាប្រព័ន្ធទាំងអស់។

វាត្រូវបានកត់សម្គាល់ថា ភាពងាយរងគ្រោះនេះមិនអាចត្រូវបានកេងប្រវ័ញ្ចនៅពេលប្រើយន្តការការពារ Seccomp, AppArmor ឬ SE បានទេ។Linux សម្រាប់​ការ​ញែក​កុងតឺន័រ​បន្ថែម ដោយសារ Seccomp រារាំង​ការហៅ​ទៅកាន់​ការហៅ​ប្រព័ន្ធ unshare() និង AppArmor និង SELinux មិនអនុញ្ញាតឱ្យម៉ោន cgroupfs ក្នុងរបៀបសរសេរទេ។

ប្រភព: opennet.ru