Kernel Schwachstelle Linux, iwwer Bluetooth op Distanz gesteiert

Am Kär Linux Eng Schwachstelle (CVE-2022-42896) gouf identifizéiert, déi potenziell benotzt kéint ginn, fir Code op Kernel-Niveau auszeféieren, andeems e speziell erstallten L2CAP-Paket iwwer Bluetooth geschéckt gëtt. E ähnlecht Problem (CVE-2022-42895) gouf och am L2CAP-Handler identifizéiert, wat zu engem Kernel-Speicherleck a Konfiguratiounspakete féiere kéint. Déi éischt Schwachstelle besteet zënter August 2014 (Kernel 3.16), an déi zweet zënter Oktober 2011 (Kernel 3.0). D'Schwachstelle goufen a Kernel-Versioune behoben. Linux 6.1.0, 6.0.8, 4.9.333, 4.14.299, 4.19.265, 5.4.224, 5.10.154, an 5.15.78. Dir kënnt de Fix an den Distributiounen op de folgende Säiten verfollegen: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

Fir d'Méiglechkeet vun enger Fernattack ze demonstréieren, goufen Prototypen vun Exploiten publizéiert, déi funktionéieren an Ubuntu 22.04. Abrëll. Fir den Ugrëff auszeféieren, muss den Ugräifer sech an der Bluetooth-Reechwäit befannen - eng virleefeg Pairing ass net erfuerderlech, awer Bluetooth muss um Computer aktiv sinn. Den Ugrëff erfuerdert d'Kenntnis vun der MAC-Adress vum Apparat vum Affer, déi duerch Sniffing bestëmmt ka ginn oder, op verschiddenen Apparater, aus der Wi-Fi MAC-Adress berechent ka ginn.

Déi éischt Schwachstelle (CVE-2022-42896) gëtt verursaacht duerch Zougang zu engem scho befreit Gedächtnisgebitt (benotzen-after-gratis) an der Ëmsetzung vun de l2cap_connect an l2cap_le_connect_req Funktiounen - nodeems e Kanal duerch den new_connection Callback erstallt gouf, gouf e Spär net agestallt fir et, ma e Timer war gesat (__set_chan_timer), op Oflaf vun der Zäit, Vocatioun der l2cap_chan_timeout Funktioun an läschen de Kanal ouni d'Réalisatioun vun Aarbecht mat de Kanal an der l2cap_le_connect * Funktiounen kontrolléieren.

De Standard-Timeout ass 40 Sekonnen an et gouf ugeholl datt e Rennbedéngung net mat esou enger Verzögerung geschéie konnt, awer et huet sech erausgestallt datt duerch en anere Feeler am SMP Handler et méiglech war en direkten Uruff un den Timer z'erreechen an eng Rennen Zoustand. E Problem an l2cap_le_connect_req kann zu engem Kärel Erënnerung Leck Féierung, an an l2cap_connect kann et zu engem iwwerschreiwe den Inhalt vun Erënnerung féieren a seng Code ausféieren. Déi éischt Zort Attack kann mat Bluetooth LE 4.0 (zënter 2009) duerchgefouert ginn, déi zweet wann Dir Bluetooth BR / EDR 5.2 benotzt (zënter 2020).

Déi zweet Schwachstelle (CVE-2022-42895) gëtt duerch e Reschtspeicherleck an der l2cap_parse_conf_req Funktioun verursaacht, déi benotzt ka ginn, fir Informatiounen iwwer Pointer op Kernelstrukturen aus der Distanz ze kréien, andeems speziell konfiguréiert Konfiguratiounsufroe geschéckt ginn. D'l2cap_parse_conf_req Funktioun huet d'l2cap_conf_efs Struktur benotzt, fir déi den zougewisenen Speicher net virinitialiséiert gouf, an duerch d'Manipulatioun vum FLAG_EFS_ENABLE Flag war et méiglech, al Daten aus dem Stack am Paket opzehuelen. De Problem trëtt nëmmen op Systemer op, wou de Kernel mat der CONFIG_BT_HS Optioun kompilléiert gëtt (standardméisseg deaktivéiert, awer a verschiddenen Distributiounen aktivéiert, wéi z.B. Ubuntu). Fir en erfollegräichen Ugrëff muss och de Parameter HCI_HS_ENABLED iwwer d'Kontrollinterface op true gesat ginn (net standardméisseg benotzt).

Source: opennet.ru