Linux കേർണലിലെ റൂട്ട് കേടുപാടുകൾ കൂടാതെ systemd-ൽ സേവനം നിഷേധിക്കലും

Qualys-ലെ സുരക്ഷാ ഗവേഷകർ Linux കേർണലിനെയും systemd സിസ്റ്റം മാനേജറെയും ബാധിക്കുന്ന രണ്ട് കേടുപാടുകളുടെ വിശദാംശങ്ങൾ വെളിപ്പെടുത്തി. കേർണലിലെ ഒരു അപകടസാധ്യത (CVE-2021-33909) ഉയർന്ന നെസ്റ്റഡ് ഡയറക്‌ടറികൾ കൈകാര്യം ചെയ്യുന്നതിലൂടെ റൂട്ട് അവകാശങ്ങൾ ഉപയോഗിച്ച് കോഡ് എക്‌സിക്യൂഷൻ നേടാൻ ഒരു പ്രാദേശിക ഉപയോക്താവിനെ അനുവദിക്കുന്നു.

ഡിഫോൾട്ട് കോൺഫിഗറേഷനിൽ ഉബുണ്ടു 20.04/20.10/21.04, ഡെബിയൻ 11, ഫെഡോറ 34 എന്നിവയിൽ പ്രവർത്തിക്കുന്ന വർക്കിംഗ് എക്‌പ്ലോയിറ്റുകൾ തയ്യാറാക്കാൻ ഗവേഷകർക്ക് കഴിഞ്ഞു എന്നത് അപകടസാധ്യതയുടെ അപകടം വർദ്ധിപ്പിക്കുന്നു. മറ്റ് വിതരണങ്ങൾ പരീക്ഷിച്ചിട്ടില്ല, എന്നാൽ സൈദ്ധാന്തികമായി പ്രശ്‌നത്തിന് വിധേയമാകുന്നതും ആക്രമിക്കപ്പെടാവുന്നതുമാണ്. എല്ലായിടത്തും പ്രശ്നം ഇല്ലാതാക്കിയതിന് ശേഷം ചൂഷണങ്ങളുടെ പൂർണ്ണ കോഡ് പ്രസിദ്ധീകരിക്കുമെന്ന് വാഗ്ദാനം ചെയ്യുന്നു, എന്നാൽ ഇപ്പോൾ പരിമിതമായ പ്രവർത്തനക്ഷമതയുടെ ഒരു പ്രോട്ടോടൈപ്പ് മാത്രമേ ലഭ്യമാകൂ, ഇത് സിസ്റ്റം തകരാറിലാകുന്നു. 2014 ജൂലൈ മുതൽ ഈ പ്രശ്നം നിലവിലുണ്ട്, ഇത് 3.16 മുതൽ ആരംഭിക്കുന്ന കേർണൽ റിലീസുകളെ ബാധിക്കുന്നു. ദുർബലത പരിഹരിക്കൽ കമ്മ്യൂണിറ്റിയുമായി ഏകോപിപ്പിക്കുകയും ജൂലൈ 19-ന് കേർണലിലേക്ക് സ്വീകരിക്കുകയും ചെയ്തു. പ്രധാന വിതരണങ്ങൾ അവരുടെ കേർണൽ പാക്കേജുകളിലേക്ക് (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch) ഇതിനകം തന്നെ അപ്ഡേറ്റുകൾ സൃഷ്ടിച്ചിട്ടുണ്ട്.

seq_file കോഡിൽ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിന് മുമ്പ്, ഒരു size_t-ലേക്കുള്ള int പരിവർത്തനത്തിൻ്റെ ഫലം പരിശോധിക്കുന്നതിൽ പരാജയപ്പെടുന്നതാണ് അപകടത്തിന് കാരണം, ഇത് റെക്കോർഡുകളുടെ ഒരു ശ്രേണിയിൽ നിന്ന് ഫയലുകൾ സൃഷ്ടിക്കുന്നു. പരിശോധിക്കുന്നതിൽ പരാജയപ്പെടുന്നത്, വളരെ നെസ്റ്റഡ് ഡയറക്‌ടറി സ്ട്രക്‌ചർ സൃഷ്‌ടിക്കുമ്പോഴും മൗണ്ട് ചെയ്യുമ്പോഴും ഇല്ലാതാക്കുമ്പോഴും (പാത്ത് വലുപ്പം 1 GB-യിൽ കൂടുതൽ) ബഫറിലേക്ക് പരിധിക്ക് പുറത്തുള്ള റൈറ്റുകൾക്ക് കാരണമായേക്കാം. തൽഫലമായി, ഒരു ആക്രമണകാരിക്ക് അനുവദിച്ച ബഫറിന് തൊട്ടുമുമ്പുള്ള ഏരിയയിലേക്ക് വിരൽ ചൂണ്ടിക്കൊണ്ട് "-10 GB - 2 bytes" ഓഫ്‌സെറ്റിൽ എഴുതിയ 10-ബൈറ്റ് സ്ട്രിംഗ് "//ഇല്ലാതാക്കി" നേടാനാകും.

തയ്യാറാക്കിയ ചൂഷണത്തിന് പ്രവർത്തിക്കാൻ 5 GB മെമ്മറിയും 1 ദശലക്ഷം സൗജന്യ ഐനോഡുകളും ആവശ്യമാണ്. 1 GB കവിയുന്ന ഒരു ഫയൽ പാത്ത് വലുപ്പം നേടുന്നതിന് ഏകദേശം ഒരു ദശലക്ഷം ഉപഡയറക്‌ടറികളുടെ ഒരു ശ്രേണി സൃഷ്‌ടിക്കാൻ mkdir()-നെ വിളിച്ച് ചൂഷണം പ്രവർത്തിക്കുന്നു. ഈ ഡയറക്‌ടറി ഒരു പ്രത്യേക ഉപയോക്തൃ നെയിംസ്‌പേസിൽ ബൈൻഡ്-മൗണ്ട് വഴി മൌണ്ട് ചെയ്‌തിരിക്കുന്നു, അതിനുശേഷം അത് നീക്കം ചെയ്യുന്നതിനായി rmdir() ഫംഗ്‌ഷൻ പ്രവർത്തിപ്പിക്കുന്നു. സമാന്തരമായി, ഒരു ചെറിയ eBPF പ്രോഗ്രാം ലോഡ് ചെയ്യുന്ന ഒരു ത്രെഡ് സൃഷ്ടിക്കപ്പെടുന്നു, അത് eBPF സ്യൂഡോകോഡ് പരിശോധിച്ചതിന് ശേഷം ഘട്ടത്തിൽ തടഞ്ഞു, പക്ഷേ അതിൻ്റെ JIT സമാഹരണത്തിന് മുമ്പ്.

unprivileged userid നെയിംസ്‌പേസിൽ, /proc/self/mountinfo എന്ന ഫയൽ തുറക്കുകയും ബൈൻഡ്-മൗണ്ടഡ് ഡയറക്‌ടറിയുടെ ദൈർഘ്യമേറിയ പാത്ത്‌നെയിം വായിക്കുകയും ചെയ്യുന്നു, അതിൻ്റെ ഫലമായി ബഫർ ആരംഭിക്കുന്നതിന് മുമ്പ് ഏരിയയിലേക്ക് "//ഡിലീറ്റ്" എന്ന സ്ട്രിംഗ് എഴുതപ്പെടും. ഇതിനകം പരീക്ഷിച്ചതും എന്നാൽ ഇതുവരെ സമാഹരിച്ചിട്ടില്ലാത്തതുമായ eBPF പ്രോഗ്രാമിലെ നിർദ്ദേശങ്ങൾ പുനരാലേഖനം ചെയ്യുന്ന തരത്തിൽ വരി എഴുതുന്നതിനുള്ള സ്ഥാനം തിരഞ്ഞെടുത്തു.

അടുത്തതായി, eBPF പ്രോഗ്രാം തലത്തിൽ, btf, map_push_elem ഘടനകൾ കൈകാര്യം ചെയ്യുന്നതിലൂടെ മറ്റ് കേർണൽ ഘടനകൾ വായിക്കാനും എഴുതാനുമുള്ള നിയന്ത്രിത ശേഷിയായി അനിയന്ത്രിതമായ ഔട്ട്-ഓഫ്-ബഫർ റൈറ്റിംഗ് രൂപാന്തരപ്പെടുന്നു. തൽഫലമായി, ചൂഷണം, കേർണൽ മെമ്മറിയിലെ modprobe_path[] ബഫറിൻ്റെ സ്ഥാനം നിർണ്ണയിക്കുകയും അതിലെ “/sbin/modprobe” പാത്ത് പുനരാലേഖനം ചെയ്യുകയും ചെയ്യുന്നു, ഇത് റൂട്ട് അവകാശങ്ങളുള്ള ഏതെങ്കിലും എക്സിക്യൂട്ടബിൾ ഫയലിൻ്റെ സമാരംഭം ആരംഭിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. request_module() call, അത് എക്സിക്യൂട്ട് ചെയ്യുന്നു, ഉദാഹരണത്തിന്, നെറ്റ്ലിങ്ക് സോക്കറ്റ് സൃഷ്ടിക്കുമ്പോൾ.

ഗവേഷകർ ഒരു പ്രത്യേക ചൂഷണത്തിന് മാത്രം ഫലപ്രദമായ നിരവധി പരിഹാരങ്ങൾ നൽകുന്നു, പക്ഷേ പ്രശ്നം തന്നെ ഇല്ലാതാക്കരുത്. ഒരു പ്രത്യേക ഉപയോക്തൃ ഐഡി നെയിംസ്‌പേസിൽ മൗണ്ടിംഗ് ഡയറക്‌ടറികൾ പ്രവർത്തനരഹിതമാക്കുന്നതിന് "/proc/sys/kernel/unprivileged_userns_clone" 0 ആയും, kernel പ്രോഗ്രാമുകൾ ലോഡുചെയ്യുന്നത് അപ്രാപ്‌തമാക്കുന്നതിന് "/proc/sys/kernel/unprivileged_bpf_disabled" 1 ആയും സജ്ജമാക്കാൻ ശുപാർശ ചെയ്യുന്നു.

ഒരു വലിയ ഡയറക്‌ടറി മൌണ്ട് ചെയ്യുന്നതിനായി ബൈൻഡ്-മൗണ്ടിനു പകരം FUSE മെക്കാനിസം ഉപയോഗിക്കുന്നത് ഉൾപ്പെടുന്ന ഒരു ബദൽ ആക്രമണം വിശകലനം ചെയ്യുമ്പോൾ, systemd സിസ്റ്റം മാനേജറെ ബാധിക്കുന്ന മറ്റൊരു അപകടസാധ്യത (CVE-2021-33910) ഗവേഷകർ കണ്ടെത്തി എന്നത് ശ്രദ്ധേയമാണ്. FUSE വഴി 8 MB-യിൽ കൂടുതലുള്ള പാത്ത് സൈസ് ഉള്ള ഒരു ഡയറക്‌ടറി മൌണ്ട് ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ, കൺട്രോൾ ഇനീഷ്യലൈസേഷൻ പ്രോസസ് (PID1) സ്റ്റാക്ക് മെമ്മറി തീരുകയും ക്രാഷാകുകയും ചെയ്യുന്നു, ഇത് സിസ്റ്റത്തെ ഒരു "പാനിക്" അവസ്ഥയിലാക്കുന്നു.

സിസ്റ്റംd /proc/self/mountinfo യുടെ ഉള്ളടക്കങ്ങൾ ട്രാക്ക് ചെയ്യുകയും പാഴ്‌സ് ചെയ്യുകയും ചെയ്യുന്നു എന്നതാണ് പ്രശ്‌നം, യൂണിറ്റ്_name_path_escape() ഫംഗ്‌ഷനിലെ ഓരോ മൗണ്ട് പോയിൻ്റും പ്രോസസ്സ് ചെയ്യുന്നു, ഇത് ഒരു strdupa() ഓപ്പറേഷൻ നടത്തുന്നു, ഇത് ഡാറ്റയെ ഡൈനാമിക് ആയി നീക്കിവച്ചിരിക്കുന്ന മെമ്മറിയിലല്ലാതെ സ്റ്റാക്കിൽ സ്ഥാപിക്കുന്നു. . പരമാവധി സ്റ്റാക്ക് വലുപ്പം RLIMIT_STACK വഴി പരിമിതപ്പെടുത്തിയിരിക്കുന്നതിനാൽ, മൗണ്ട് പോയിൻ്റിലേക്കുള്ള വളരെ വലിയ പാത പ്രോസസ്സ് ചെയ്യുന്നത് PID1 പ്രോസസ്സ് തകരാറിലാകുന്നതിനും സിസ്റ്റം നിർത്തുന്നതിനും കാരണമാകുന്നു. ഒരു ആക്രമണത്തിനായി, ഒരു മൗണ്ട് പോയിൻ്റായി ഉയർന്ന നെസ്റ്റഡ് ഡയറക്‌ടറി ഉപയോഗിച്ച് നിങ്ങൾക്ക് ഏറ്റവും ലളിതമായ FUSE മൊഡ്യൂൾ ഉപയോഗിക്കാം, അതിൻ്റെ പാത്ത് വലുപ്പം 8 MB കവിയുന്നു.

systemd 220 (ഏപ്രിൽ 2015) മുതൽ ഈ പ്രശ്നം ദൃശ്യമാകുന്നു, പ്രധാന systemd റിപ്പോസിറ്ററിയിൽ ഇതിനകം പരിഹരിച്ചു, വിതരണങ്ങളിൽ (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch) പരിഹരിച്ചു. ശ്രദ്ധേയമായി, systemd റിലീസ് 248-ൽ, /proc/self/mountinfo-ൻ്റെ പ്രോസസ്സിംഗ് പരാജയപ്പെടുന്നതിന് കാരണമാകുന്ന systemd കോഡിലെ ഒരു ബഗ് കാരണം ചൂഷണം പ്രവർത്തിക്കുന്നില്ല. 2018 ൽ സമാനമായ ഒരു സാഹചര്യം ഉടലെടുത്തു എന്നതും രസകരമാണ്, ലിനക്സ് കേർണലിലെ CVE-2018-14634 കേടുപാടുകൾക്കായി ഒരു ചൂഷണം എഴുതാൻ ശ്രമിക്കുമ്പോൾ, Qualys ഗവേഷകർ systemd- ൽ മൂന്ന് നിർണായക കേടുപാടുകൾ കണ്ടു.

അവലംബം: opennet.ru