लिनक्स कर्नल स्तरावर कोड कार्यान्वित करण्यास अनुमती देणार्‍या eBPF उपप्रणालीतील भेद्यता

eBPF उपप्रणालीमध्ये दोन नवीन भेद्यता ओळखल्या गेल्या आहेत, जे तुम्हाला JIT सह विशेष व्हर्च्युअल मशीनमध्ये Linux कर्नलमध्ये हँडलर चालवण्यास अनुमती देते. दोन्ही भेद्यतेमुळे तुमचा कोड कर्नल अधिकारांसह, वेगळ्या eBPF व्हर्च्युअल मशीनच्या बाहेर कार्यान्वित करणे शक्य होते. समस्यांबद्दल माहिती झीरो डे इनिशिएटिव्ह टीमने प्रकाशित केली होती, जी Pwn2Own स्पर्धा चालवते, ज्या दरम्यान या वर्षात उबंटू लिनक्सवर तीन हल्ले झाले ज्यामध्ये पूर्वीच्या अज्ञात भेद्यता वापरल्या गेल्या होत्या (eBPF मधील भेद्यता या हल्ल्यांशी संबंधित आहेत की नाही याची नोंद केलेली नाही) .

• CVE-2021-3490 - eBPF ALU32 मध्ये bitwise AND, OR, आणि XOR ऑपरेशन्स करताना 32-बिट आउट-ऑफ-बाउंड चेकिंगच्या कमतरतेमुळे असुरक्षा उद्भवते. वाटप केलेल्या बफरच्या मर्यादेबाहेरील डेटा वाचण्यासाठी आणि लिहिण्यासाठी आक्रमणकर्ता या त्रुटीचा फायदा घेऊ शकतो. XOR ऑपरेशन्समधील समस्या कर्नल आवृत्ती 5.7-rc1 आणि AND आणि OR - 5.10-rc1 पासून सुरू होऊन दिसते.
• CVE-2021-3489 - रिंग बफरच्या अंमलबजावणीतील त्रुटीमुळे असुरक्षितता उद्भवली आहे आणि bpf_ringbuf_reserve फंक्शनने वाटप केलेल्या मेमरी क्षेत्राचा आकार वास्तविक आकारापेक्षा कमी असण्याची शक्यता तपासली नाही या वस्तुस्थितीमुळे आहे. रिंगबफ च्या. रिलीझ 5.8-rc1 पासून समस्या दिसून येते.

वितरणांमध्ये पॅचिंग भेद्यतेची स्थिती या पृष्ठांवर ट्रॅक केली जाऊ शकते: Ubuntu, Debian, RHEL, Fedora, SUSE, Arch). निराकरणे पॅच म्हणून देखील उपलब्ध आहेत (CVE-2021-3489, CVE-2021-3490). ईबीपीएफ सिस्टम कॉल वापरकर्त्यासाठी प्रवेशयोग्य आहे की नाही यावर या समस्येचे शोषण केले जाऊ शकते की नाही हे अवलंबून असते. उदाहरणार्थ, RHEL मधील डीफॉल्ट कॉन्फिगरेशनमध्ये, भेद्यतेचे शोषण करण्यासाठी वापरकर्त्याकडे CAP_SYS_ADMIN अधिकार असणे आवश्यक आहे.

स्वतंत्रपणे, आम्ही लिनक्स कर्नलमधील आणखी एक असुरक्षा लक्षात घेऊ शकतो - CVE-2021-32606, जे स्थानिक वापरकर्त्याला त्यांचे विशेषाधिकार रूट स्तरावर वाढवण्याची परवानगी देते. लिनक्स कर्नल 5.11 पासून ही समस्या स्पष्ट झाली आहे आणि CAN ISOTP प्रोटोकॉलच्या अंमलबजावणीमध्ये रेस स्थितीमुळे उद्भवली आहे, ज्यामुळे isotp_setsockopt() फंक्शनमध्ये योग्य लॉक सेट न केल्यामुळे सॉकेट बाइंडिंग पॅरामीटर्स बदलणे शक्य होते. CAN_ISOTP_SF_BROADCAST ध्वजावर प्रक्रिया करताना.

ISOTP सॉकेट बंद केल्यानंतर, प्राप्तकर्त्याच्या सॉकेटचे बंधन प्रभावी राहते, जे सॉकेटशी संबंधित मेमरी मुक्त झाल्यानंतर वापरणे सुरू ठेवू शकते. ज्याला isotp_rcv() कॉल केल्यावर आधीच मुक्त केले गेले आहे). डेटा मॅनिप्युलेशनद्वारे, तुम्ही sk_error_report() फंक्शनवर पॉइंटर ओव्हरराइड करू शकता आणि कर्नल स्तरावर तुमचा कोड कार्यान्वित करू शकता.

स्त्रोत: opennet.ru