Beveiligingsonderzoekers van Qualys hebben details onthuld over twee kwetsbaarheden die het Linux-kernel en het systeembeheerder systemd aantasten. De kwetsbaarheid in de kernel (CVE-2021-33909) stelt een lokale gebruiker in staat om code met root-rechten uit te voeren door manipulatie van mappen met een grote diepte. <\/p>\n
De gevaren van de kwetsbaarheid worden verergerd doordat onderzoekers werkende exploits hebben voorbereid die werken op Ubuntu 20.04\/20.10\/21.04, Debian 11 en Fedora 34 in de standaardconfiguratie. Het is opgemerkt dat andere distributies niet zijn getest, maar theoretisch ook kwetsbaar kunnen zijn en aangevallen kunnen worden. De volledige code van de exploits belooft openbaar gemaakt te worden na een alomvattende oplossing van het probleem, terwijl momenteel slechts een beperkte functionele prototype beschikbaar is die een systeemcrash veroorzaakt. Het probleem bestaat al sinds juli 2014 en be\u00efnvloedt kernelversies vanaf 3.16. De patch voor de kwetsbaarheid is geco\u00f6rdineerd met de gemeenschap en is op 19 juli in de kernel opgenomen. De belangrijkste distributies hebben al updates voor de kernelpakketten geformuleerd (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
De kwetsbaarheid wordt veroorzaakt door het ontbreken van controle op de conversie van het type size_t naar int voordat operaties in de seq_file-code worden uitgevoerd, die bestanden maakt uit een reeks records. Het ontbreken van deze controle kan leiden tot schrijfoperaties buiten de grens van de buffer bij het maken, monteren en verwijderen van mapstructuren met een zeer hoge diepgang (padgrootte van meer dan 1 GB). Hierdoor kan een aanvaller een 10-byte string '\/\/\/deleted' schrijven met een offset van '- 2 GB - 10 bytes', wat wijst op het gebied dat direct voorafgaat aan de toegewezen buffer. <\/p>\n
De voorbereide exploit vereist 5 GB geheugen en 1 miljoen vrije inode. De werking van de exploit bestaat uit het maken van een hi\u00ebrarchie van ongeveer een miljoen geneste mappen via een mkdir()-aanroep om een padgrootte groter dan 1 GB te bereiken. Deze map wordt gemonteerd via een bind-mount in een aparte gebruikersnaamruimte (user namespace), waarna de rmdir()-functie wordt aangeroepen om deze te verwijderen. Tegelijkertijd wordt er een thread aangemaakt die een kleine eBPF-programma laadt, welke wordt geblokkeerd tijdens de fase na controle van de pseudocode van eBPF, maar voor de JIT-compilatie. <\/p>\n
In een niet-geprivilegieerde gebruikersnaamruimte wordt het bestand \/proc\/self\/mountinfo geopend en wordt een lang pad van de map die met bind-mount is gemonteerd gelezen, wat leidt tot het schrijven van de string '\/\/\/deleted' in het gebied v\u00f3\u00f3r het begin van de buffer. De positie voor het schrijven van de string wordt zodanig gekozen dat deze een instructie in een al gecontroleerd, maar nog niet gecompileerd eBPF-programma overschrijft. <\/p>\n
Vervolgens wordt de onbeheersbare schrijfoperatie buiten de buffer op het eBPF-programmaniveau omgevormd tot een beheersbare mogelijkheid voor lezen en schrijven naar andere kernstructuren door manipulatie van de btf- en map_push_elem-structuren. Uiteindelijk bepaalt de exploit de locatie van de modprobe_path[] buffer in het kerngeheugen en overschrijft deze met het pad '\/sbin\/modprobe', wat de mogelijkheid biedt om elk uitvoerbaar bestand met root-rechten uit te voeren in het geval van een aanroep van request_module(), die bijvoorbeeld wordt uitgevoerd bij het maken van een netlink-socket. <\/p>\n
Onderzoekers geven verschillende workaround-methoden voor beveiliging aan die alleen effectief zijn voor specifieke exploits, maar die het onderliggende probleem niet oplossen. Het wordt aangeraden om de parameter '\/proc\/sys\/kernel\/unprivileged_userns_clone' in te stellen op 0 om het monteren van mappen in een aparte gebruikersnaamruimte te verbieden, evenals '\/proc\/sys\/kernel\/unprivileged_bpf_disabled' op 1 om het laden van eBPF-programma's in de kernel te verbieden.