KodolÄ Linux OverlayFS failu sistÄmas ievieÅ”anÄ ir konstatÄta ievainojamÄ«ba (CVE-2023-0386), ko var izmantot, lai iegÅ«tu root piekļuvi sistÄmÄs, kurÄs ir instalÄta FUSE apakÅ”sistÄma, un ļautu neprivileÄ£Ätam lietotÄjam (sÄkot ar kodolu) pievienot OverlayFS nodalÄ«jumus. Linux 5.11, iekļaujot neprivileÄ£Ätas lietotÄju vÄrdtelpas). ProblÄma tika novÄrsta 6.2 kodola atzarÄ. PakotÅu atjauninÄjumu publicÄÅ”anu izplatÄ«jumos var izsekot Å”ÄdÄs lapÄs: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.
Uzbrukums tiek veikts, kopÄjot failus ar setgid/setuid karodziÅiem no nodalÄ«juma, kas uzstÄdÄ«ts nosuid režīmÄ, uz OverlayFS nodalÄ«jumu ar slÄni, kas ir saistÄ«ts ar nodalÄ«jumu, kas atļauj suid failu izpildi. Å Ä« ievainojamÄ«ba ir lÄ«dzÄ«ga CVE-2021-3847, kas tika atklÄta 2021. gadÄ, taÄu tai ir zemÄkas izmantoÅ”anas prasÄ«bas. VecÄ problÄma prasÄ«ja manipulÄt ar xattrs, kas ir ierobežotas, izmantojot lietotÄju vÄrdtelpas, savukÄrt jaunÄ problÄma izmanto setgid/setuid bitus, kas netiek Ä«paÅ”i apstrÄdÄti lietotÄju vÄrdtelpÄs.
Uzbrukuma veikŔanas algoritms:
- FUSE apakÅ”sistÄma tiek izmantota, lai pievienotu failu sistÄmu, kas satur root lietotÄjam piederoÅ”u izpildÄmo failu ar setuid/setgid karodziÅiem, uz kuru var rakstÄ«t visi lietotÄji. Pievienojot, FUSE iestata "nosuid" režīmu.
- LietotÄja un pieslÄguma nosaukumtelpas nav koplietotas.
- Pievienojiet OverlayFS, izmantojot iepriekÅ” izveidoto FUSE failu sistÄmu kÄ apakÅ”Äjo slÄni un rakstÄmu direktoriju kÄ augÅ”Äjo slÄni. AugÅ”ÄjÄ slÄÅa direktorijam jÄatrodas failu sistÄmÄ, kas, pievienojot, neizmanto karodziÅu "nosuid".
- Touch utilÄ«ta maina suid faila modifikÄcijas laiku FUSE nodalÄ«jumÄ, kÄ rezultÄtÄ tas tiek kopÄts uz augÅ”Äjo OverlayFS slÄni.
- KopÄjot, kodols nenoÅem setgid/setuid karodziÅus, kÄ rezultÄtÄ fails parÄdÄs nodalÄ«jumÄ, kas atļauj setgid/setuid apstrÄdi.
- Lai iegÅ«tu root tiesÄ«bas, vienkÄrÅ”i palaidiet failu ar setgid/setuid karodziÅiem no direktorijas, kas pievienota augÅ”Äjam OverlayFS slÄnim.
TurklÄt Google Project Zero komandas pÄtnieki atklÄja informÄciju par trim ievainojamÄ«bÄm, kas tika novÄrstas kodola galvenajÄ atzarÄ. Linux 5.15, bet netika pÄrnesti uz kodola pakotnÄm no RHEL 8.x/9.x un CentOS 9. straume.
- CVE-2023-1252 ā Piekļuve iepriekÅ” atbrÄ«votai atmiÅas zonai ovl_aio_req struktÅ«rÄ vairÄku vienlaicÄ«gu darbÄ«bu laikÄ OverlayFS, kas izvietots virs Ext4. Å Ä« ievainojamÄ«ba potenciÄli ļauj palielinÄt privilÄÄ£ijas.
- CVE-2023-0590 ā Piekļuve iepriekÅ” atbrÄ«votam atmiÅas reÄ£ionam funkcijÄ qdisc_graft(). Paredzams, ka izmantoÅ”ana aprobežosies ar avÄriju.
- CVE-2023-1249 ā Atsauce uz iepriekÅ” atbrÄ«votu atmiÅas reÄ£ionu coredump rakstÄ«Å”anas kodÄ rodas neatbildÄta mmap_lock izsaukuma dÄļ failÄ file_files_note. Paredzams, ka izmantoÅ”ana aprobežosies ar avÄriju.
Avots: opennet.ru
