लिनक्स कर्नलमध्ये रूट असुरक्षा आणि systemd मधील सेवा नाकारणे

क्वालिसच्या सुरक्षा संशोधकांनी लिनक्स कर्नल आणि सिस्टमड सिस्टम मॅनेजरला प्रभावित करणार्‍या दोन भेद्यतेचे तपशील उघड केले आहेत. कर्नल (CVE-2021-33909) मधील असुरक्षा स्थानिक वापरकर्त्याला अत्यंत नेस्टेड डिरेक्ट्रीजच्या हाताळणीद्वारे रूट अधिकारांसह कोडची अंमलबजावणी करण्यास अनुमती देते.

डीफॉल्ट कॉन्फिगरेशनमध्ये उबंटू 20.04/20.10/21.04, डेबियन 11 आणि फेडोरा 34 वर कार्य करणारे कार्य करणारे शोषण तयार करण्यात संशोधक सक्षम होते या वस्तुस्थितीमुळे असुरक्षिततेचा धोका वाढला आहे. हे नोंदवले गेले आहे की इतर वितरणांची चाचणी केली गेली नाही, परंतु सैद्धांतिकदृष्ट्या देखील समस्येस संवेदनाक्षम आहेत आणि त्यावर हल्ला केला जाऊ शकतो. सर्वत्र समस्या दूर झाल्यानंतर शोषणाचा संपूर्ण कोड प्रकाशित करण्याचे आश्वासन दिले आहे, परंतु सध्या केवळ मर्यादित कार्यक्षमतेचा नमुना उपलब्ध आहे, ज्यामुळे सिस्टम क्रॅश होते. समस्या जुलै 2014 पासून उपस्थित आहे आणि 3.16 पासून कर्नल प्रकाशनांना प्रभावित करते. असुरक्षितता निराकरण समुदायासह समन्वयित केले गेले आणि 19 जुलै रोजी कर्नलमध्ये स्वीकारले गेले. मुख्य वितरणांनी त्यांच्या कर्नल पॅकेजेस (डेबियन, उबंटू, फेडोरा, RHEL, SUSE, Arch) आधीच अद्यतने व्युत्पन्न केली आहेत.

seq_file कोडमध्ये ऑपरेशन्स करण्यापूर्वी size_t ते int रूपांतरणाचा परिणाम तपासण्यात अयशस्वी झाल्यामुळे असुरक्षा उद्भवते, जे रेकॉर्डच्या अनुक्रमातून फायली तयार करते. तपासण्यात अयशस्वी झाल्यामुळे बफरला खूप नेस्टेड डिरेक्ट्री स्ट्रक्चर तयार करताना, आरोहित करताना आणि हटवताना (1 GB पेक्षा जास्त पथ आकार) लिहिण्यात येऊ शकते. परिणामी, हल्लेखोर वाटप केलेल्या बफरच्या ताबडतोब आधीच्या क्षेत्राकडे निर्देश करणारी "-10 GB - 2 बाइट्स" च्या ऑफसेटवर लिहिलेली 10-बाइट स्ट्रिंग "//हटलेली" प्राप्त करू शकतो.

तयार केलेल्या शोषणाला ऑपरेट करण्यासाठी 5 GB मेमरी आणि 1 दशलक्ष फ्री इनोड्स आवश्यक आहेत. एक्सप्लोइट mkdir() ला कॉल करून 1 GB पेक्षा जास्त फाइल पथ आकार प्राप्त करण्यासाठी सुमारे एक दशलक्ष उपनिर्देशिका तयार करण्यासाठी कार्य करते. ही निर्देशिका bind-mount द्वारे वेगळ्या वापरकर्ता नेमस्पेसमध्ये आरोहित केली जाते, त्यानंतर rmdir() फंक्शन काढून टाकण्यासाठी चालवले जाते. समांतर, एक धागा तयार केला जातो जो एक छोटा eBPF प्रोग्राम लोड करतो, जो eBPF स्यूडोकोड तपासल्यानंतर स्टेजवर ब्लॉक केला जातो, परंतु त्याच्या JIT संकलनापूर्वी.

अनप्रिव्हिलेज्ड युजरआयडी नेमस्पेसमध्ये, फाइल /proc/self/mountinfo उघडली जाते आणि बाइंड-माउंट केलेल्या डिरेक्टरीचे लांब पथनाव वाचले जाते, परिणामी बफर सुरू होण्यापूर्वी क्षेत्रामध्ये "// हटवले" स्ट्रिंग लिहिली जाते. ओळ लिहिण्यासाठी स्थान निवडले आहे जेणेकरून ते आधीच चाचणी केलेल्या परंतु अद्याप संकलित न केलेल्या eBPF प्रोग्राममधील सूचना ओव्हरराईट करेल.

पुढे, eBPF प्रोग्राम स्तरावर, अनियंत्रित आउट-ऑफ-बफर लेखन हे btf आणि map_push_elem स्ट्रक्चर्सच्या हाताळणीद्वारे इतर कर्नल स्ट्रक्चर्समध्ये वाचन आणि लिहिण्याच्या नियंत्रित क्षमतेमध्ये रूपांतरित होते. परिणामी, शोषण कर्नल मेमरीमधील modprobe_path[] बफरचे स्थान निर्धारित करते आणि त्यामधील “/sbin/modprobe” मार्ग अधिलिखित करते, जे तुम्हाला मूळ अधिकारांसह कोणतीही एक्झिक्युटेबल फाइल लॉन्च करण्यास अनुमती देते. request_module() कॉल, जे कार्यान्वित केले जाते, उदाहरणार्थ, नेटलिंक सॉकेट तयार करताना.

संशोधक अनेक उपाय देतात जे केवळ विशिष्ट शोषणासाठी प्रभावी आहेत, परंतु समस्या स्वतःच दूर करत नाहीत. वेगळ्या वापरकर्ता आयडी नेमस्पेसमध्ये माउंटिंग डिरेक्टरी अक्षम करण्यासाठी "/proc/sys/kernel/unprivileged_userns_clone" 0 वर सेट करण्याची शिफारस केली जाते आणि कर्नलमध्ये eBPF प्रोग्राम लोड करणे अक्षम करण्यासाठी "/proc/sys/kernel/unprivileged_bpf_disabled" 1 वर सेट करण्याची शिफारस केली जाते.

हे लक्षात घेण्याजोगे आहे की मोठ्या डिरेक्टरी माउंट करण्यासाठी बाइंड-माउंड ऐवजी FUSE मेकॅनिझमचा वापर समाविष्ट असलेल्या वैकल्पिक हल्ल्याचे विश्लेषण करताना, संशोधकांना आणखी एक असुरक्षितता (CVE-2021-33910) आढळून आली जी सिस्टीमड सिस्टम मॅनेजरवर परिणाम करते. हे निष्पन्न झाले की FUSE द्वारे 8 MB पेक्षा जास्त पथ आकार असलेली निर्देशिका माउंट करण्याचा प्रयत्न करताना, कंट्रोल इनिशिएलायझेशन प्रक्रिया (PID1) स्टॅक मेमरी संपते आणि क्रॅश होते, ज्यामुळे सिस्टमला "घाबरू" स्थिती येते.

समस्या अशी आहे की systemd /proc/self/mountinfo मधील सामग्रीचा मागोवा घेते आणि पार्स करते, आणि unit_name_path_escape() फंक्शनमधील प्रत्येक माउंट पॉइंटवर प्रक्रिया करते, जे strdupa() ऑपरेशन करते जे डायनॅमिकली वाटप केलेल्या मेमरीत डेटा ठेवण्याऐवजी स्टॅकवर ठेवते. . जास्तीत जास्त स्टॅक आकार RLIMIT_STACK द्वारे मर्यादित असल्याने, माउंट पॉईंटच्या मार्गावर खूप मोठ्या प्रमाणात प्रक्रिया केल्याने PID1 प्रक्रिया क्रॅश होते आणि सिस्टम थांबते. आक्रमणासाठी, आपण माउंट पॉईंट म्हणून उच्च नेस्टेड निर्देशिका वापरण्यासह सर्वात सोपा FUSE मॉड्यूल वापरू शकता, ज्याचा पथ आकार 8 MB पेक्षा जास्त आहे.

ही समस्या systemd 220 (एप्रिल 2015) पासून दिसून येत आहे, ती आधीच मुख्य systemd रेपॉजिटरीमध्ये निश्चित केली गेली आहे आणि वितरणांमध्ये निश्चित केली गेली आहे (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). विशेष म्हणजे, systemd रिलीज 248 मध्ये systemd कोडमधील बगमुळे शोषण कार्य करत नाही ज्यामुळे /proc/self/mountinfo ची प्रक्रिया अयशस्वी होते. हे देखील मनोरंजक आहे की 2018 मध्ये, अशीच परिस्थिती उद्भवली आणि लिनक्स कर्नलमध्ये CVE-2018-14634 असुरक्षिततेसाठी शोषण लिहिण्याचा प्रयत्न करताना, क्वालिस संशोधकांना systemd मध्ये तीन गंभीर असुरक्षा आढळल्या.

स्त्रोत: opennet.ru