In de code van het XFS-bestandssysteem is een kwetsbaarheid ontdekt (CVE-2021-4155) waarmee een lokale niet-geprivilegieerde gebruiker rechtstreeks gegevens van ongebruikte blokken kan lezen vanaf een blokapparaat. Alle significante versies van de Linux-kernel ouder dan 5.16 die de XFS-driver bevatten, zijn vatbaar voor dit probleem. De correctie is opgenomen in versie 5.16, evenals in de updates van de kernels 5.15.14, 5.10.91, 5.4.171, 4.19.225, enzovoort. De status van de herstelupdates in de distributies kan worden gevolgd op de volgende pagina's: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch.
De kwetsbaarheid wordt veroorzaakt door het onjuist gedrag van twee XFS-specifieke ioctls (XFS_IOC_ALLOCSP) en (XFS_IOC_FREESP), die functioneel vergelijkbaar zijn met de algemene systeemaanroep fallocate(). Bij het vergroten van de bestandsgrootte, niet uitgelijnd op de blokgrootte, zeroƫn de ioctls XFS_IOC_ALLOCSP/XFS_IOC_FREESP de laatste bytes niet tot de volgende blokgrens. Hierdoor kan een aanvaller op een XFS met een standaard blokgrootte van 4096 bytes tot 4095 bytes van eerder geschreven gegevens uit elk blok lezen. In de aangegeven gebieden kunnen gegevens van verwijderde bestanden, gefragmenteerde bestanden, evenals bestanden met deduplicated blocks aanwezig zijn.
Je kunt jouw systeem controleren op de kwetsbaarheid met een eenvoudige exploit-prototype. Als je na het uitvoeren van de voorgestelde reeks commando's de tekst van Shakespeare kunt lezen, is de filesystem-driver kwetsbaar. Het initiƫle mounten van de XFS-partitie voor demonstratie vereist rootrechten.
Aangezien ioctl(XFS_IOC_ALLOCSP) en ioctl(XFS_IOC_FREESP qua functionaliteit praktisch niet verschillen van de standaard fallocate(), en hun enige verschil de gegevenslek is, lijkt hun aanwezigheid op een backdoor. Ondanks het algemene beleid om bestaande interfaces in de kernel niet te wijzigen, is er op voorstel van Linus besloten om deze ioctls helemaal te verwijderen in de volgende versie.
Bron: opennet.ru
