लिनक्स कर्नेलमा रूट जोखिम र systemd मा सेवा अस्वीकार

Qualys का सुरक्षा अनुसन्धानकर्ताहरूले लिनक्स कर्नेल र systemd प्रणाली प्रबन्धकलाई असर गर्ने दुई कमजोरीहरूको विवरण प्रकट गरेका छन्। कर्नेल (CVE-2021-33909) मा एक जोखिमले स्थानीय प्रयोगकर्तालाई उच्च नेस्टेड डाइरेक्टरीहरूको हेरफेर मार्फत रूट अधिकारहरूसँग कोड कार्यान्वयन प्राप्त गर्न अनुमति दिन्छ।

जोखिमको खतरा यस तथ्यले बढेको छ कि अनुसन्धानकर्ताहरूले पूर्वनिर्धारित कन्फिगरेसनमा Ubuntu 20.04/20.10/21.04, Debian 11 र Fedora 34 मा काम गर्ने काम गर्ने शोषणहरू तयार गर्न सक्षम थिए। यो नोट गरिएको छ कि अन्य वितरणहरू परीक्षण गरिएको छैन, तर सैद्धान्तिक रूपमा पनि समस्याको लागि संवेदनशील छन् र आक्रमण गर्न सकिन्छ। शोषणको पूर्ण कोड जताततै समस्या हटिसकेपछि प्रकाशित गर्ने वाचा गरिएको छ, तर अहिलेको लागि मात्र सीमित कार्यक्षमताको प्रोटोटाइप उपलब्ध छ, जसले प्रणालीलाई क्र्यास गर्न सक्छ। समस्या जुलाई 2014 देखि अवस्थित छ र 3.16 बाट सुरु हुने कर्नेल रिलीजलाई असर गर्छ। भेद्यता समाधान समुदायसँग समन्वय गरी जुलाई १९ मा कर्नेलमा स्वीकार गरियो। मुख्य वितरणहरूले पहिले नै तिनीहरूको कर्नेल प्याकेजहरू (डेबियन, उबन्टु, फेडोरा, RHEL, SUSE, आर्क) मा अद्यावधिकहरू उत्पन्न गरिसकेका छन्।

असुरक्षा seq_file कोडमा कार्यहरू गर्नु अघि साइज_t मा int रूपान्तरणको परिणाम जाँच गर्न असफल भएको कारणले गर्दा हुन्छ, जसले रेकर्डहरूको अनुक्रमबाट फाइलहरू सिर्जना गर्दछ। जाँच गर्न असफल भएमा धेरै नेस्टेड डाइरेक्टरी ढाँचा (पथ साइज १ GB भन्दा माथि) सिर्जना गर्दा, माउन्ट गर्दा र मेटाउँदा बफरमा आउट-अफ-बाउन्डहरू लेखिन्छ। नतिजाको रूपमा, एक आक्रमणकर्ताले 1-बाइट स्ट्रिङ "//मेटाइएको" प्राप्त गर्न सक्छ "-10 GB - 2 बाइट्स" को अफसेटमा लेखिएको क्षेत्रलाई विनियोजित बफरको तुरुन्तै अगाडि देखाउँदै।

तयार एक्सप्लोइटलाई 5 GB मेमोरी र 1 मिलियन फ्री इनोडहरू सञ्चालन गर्न आवश्यक छ। एक्स्प्लोइटले mkdir() लाई 1 GB भन्दा बढीको फाइल पथ साइज प्राप्त गर्न करिब एक मिलियन उपनिर्देशिकाहरूको पदानुक्रम सिर्जना गर्न कल गरेर काम गर्दछ। यो डाइरेक्टरी bind-mount मार्फत छुट्टै प्रयोगकर्ता नेमस्पेसमा माउन्ट गरिएको छ, त्यसपछि यसलाई हटाउनको लागि rmdir() प्रकार्य चलाइन्छ। समानान्तरमा, एउटा थ्रेड सिर्जना गरिएको छ जसले सानो eBPF कार्यक्रम लोड गर्दछ, जुन eBPF स्यूडोकोड जाँच गरेपछि चरणमा अवरुद्ध हुन्छ, तर यसको JIT संकलन अघि।

अनप्रिभिलेज्ड युजरआईडी नेमस्पेसमा, फाइल /proc/self/mountinfo खोलिएको छ र बाइन्ड-माउन्ट गरिएको डाइरेक्टरीको लामो पाथनेम पढिन्छ, फलस्वरूप "//मेटिएको" स्ट्रिङ बफर सुरु हुनु अघि क्षेत्रमा लेखिएको हुन्छ। रेखा लेख्नको लागि स्थिति छनोट गरिएको छ ताकि यसले पहिले नै परीक्षण गरिएको तर अहिलेसम्म कम्पाइल गरिएको eBPF कार्यक्रममा निर्देशनलाई ओभरराइट गर्दछ।

अर्को, eBPF कार्यक्रम स्तरमा, अनियन्त्रित आउट-अफ-बफर लेखनलाई btf र map_push_elem संरचनाहरूको हेरफेर मार्फत अन्य कर्नेल संरचनाहरूमा पढ्न र लेख्ने नियन्त्रित क्षमतामा रूपान्तरण हुन्छ। नतिजाको रूपमा, शोषणले कर्नेल मेमोरीमा modprobe_path[] बफरको स्थान निर्धारण गर्दछ र यसमा "/sbin/modprobe" मार्गलाई अधिलेखन गर्दछ, जसले तपाईंलाई कुनै पनि कार्यान्वयनयोग्य फाइलको सुरुवात गर्न अनुमति दिन्छ रूट अधिकारहरू भएको घटनामा। request_module() कल, जसलाई कार्यान्वयन गरिन्छ, उदाहरणका लागि, नेटलिङ्क सकेट सिर्जना गर्दा।

अन्वेषकहरूले धेरै समाधानहरू प्रदान गर्छन् जुन केवल एक विशेष शोषणको लागि प्रभावकारी हुन्छ, तर समस्या आफैंलाई हटाउँदैन। फरक प्रयोगकर्ता आईडी नेमस्पेसमा माउन्ट डाइरेक्टरीहरू असक्षम गर्न "/proc/sys/kernel/unprivileged_userns_clone" लाई ० मा सेट गर्न सिफारिस गरिन्छ, र कर्नेलमा eBPF कार्यक्रमहरू लोड गर्न असक्षम गर्न "/proc/sys/kernel/unprivileged_bpf_disabled" लाई 0 मा सेट गर्न सिफारिस गरिन्छ।

यो उल्लेखनीय छ कि ठूलो डाइरेक्टरी माउन्ट गर्न बाइन्ड-माउन्डको सट्टा FUSE मेकानिज्मको प्रयोग समावेश गर्ने वैकल्पिक आक्रमणको विश्लेषण गर्दा, अनुसन्धानकर्ताहरूले प्रणालीड प्रणाली प्रबन्धकलाई असर गर्ने अर्को जोखिम (CVE-2021-33910) भेटे। यो पत्ता लाग्यो कि FUSE मार्फत 8 MB भन्दा बढी पथ साइज भएको डाइरेक्टरी माउन्ट गर्ने प्रयास गर्दा, कन्ट्रोल इनिसियलाइजेशन प्रक्रिया (PID1) स्ट्याक मेमोरी र क्र्यासबाट बाहिर निस्कन्छ, जसले प्रणालीलाई "आतंक" स्थितिमा राख्छ।

समस्या यो हो कि systemd ले /proc/self/mountinfo को सामग्री ट्र्याक र पार्स गर्दछ, र unit_name_path_escape() प्रकार्यमा प्रत्येक माउन्ट पोइन्टलाई प्रशोधन गर्दछ, जसले strdupa() अपरेशन गर्दछ जसले डाटालाई गतिशील रूपमा आवंटित मेमोरीमा नभई स्ट्याकमा राख्छ। । अधिकतम स्ट्याक साइज RLIMIT_STACK मार्फत सीमित भएको हुनाले, माउन्ट पोइन्टमा धेरै ठूलो बाटो प्रशोधन गर्दा PID1 प्रक्रिया क्र्यास हुन्छ र प्रणाली बन्द हुन्छ। आक्रमणको लागि, तपाईंले माउन्ट पोइन्टको रूपमा उच्च नेस्टेड डाइरेक्टरी प्रयोग गरेर संयोजनमा सरल FUSE मोड्युल प्रयोग गर्न सक्नुहुन्छ, जसको पथ साइज 8 MB भन्दा बढी छ।

यो समस्या systemd 220 (अप्रिल 2015) देखि देखा परेको छ, पहिले नै मुख्य systemd भण्डारमा फिक्स गरिएको छ र वितरण (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch) मा फिक्स गरिएको छ। उल्लेखनीय रूपमा, systemd रिलीज 248 मा systemd कोडमा बगको कारणले शोषणले काम गर्दैन जसले /proc/self/mountinfo को प्रशोधन असफल हुन्छ। यो पनि चाखलाग्दो छ कि 2018 मा, यस्तै स्थिति उत्पन्न भयो र लिनक्स कर्नेलमा CVE-2018-14634 जोखिमको लागि शोषण लेख्ने प्रयास गर्दा, Qualys अनुसन्धानकर्ताहरूले systemd मा तीनवटा महत्वपूर्ण कमजोरीहरू भेट्टाए।

स्रोत: opennet.ru