In de Linux-kernel is de vijfde kritieke kwetsbaarheid (1, 2, 3) ontdekt in de afgelopen twee weken, waardoor een gebruiker zijn privileges in het systeem kan verhogen. Er zijn twee werkende exploits gepubliceerd: sshkeysign_pwn stelt een niet-bevoegde gebruiker in staat om de inhoud van de gesloten host SSH-sleutels \\\/etc\\\/ssh\\\/ssh_host_*_key te lezen, en chage_pwn \u2014 om de inhoud van het bestand \\\/etc\\\/shadow met de hashes van gebruikerswachtwoorden te lezen. <\/p>\n
Informatie over de kwetsbaarheid was niet gepland voor openbaarmaking, maar een van de beveiligingsonderzoekers kon, op basis van de voorgestelde patch voor de kernel, de kern van de kwetsbaarheid vaststellen, die het mogelijk maakt bestanden die alleen toegankelijk zijn voor de root-gebruiker, zoals \/etc\/shadow, te lezen. In de wijziging die aan de kernel is toegevoegd, werd de logica van het gebruik van de functie get_dumpable() in ptrace aangepast bij het bepalen van het toegangslevel in de functie ptrace_may_access(). <\/p>\n
De kwetsbaarheid zelf wordt veroorzaakt door een race-conditie, die het mogelijk maakt voor een niet-geprivilegieerde toegang tot de bestandsdescriptor pidfd na toegang tot een bestand via een suid root-proces. In de tijd tussen het openen van het bestand en het herroepen van privileges in de suid-applicatie (bijvoorbeeld via de functie setreuid), ontstaat er een situatie waarin de applicatie die de suid root-applicatie heeft gestart, via de pidfd-descriptor toegang kan krijgen tot een bestand dat door de suid-applicatie is geopend, zelfs als de toegangsrechten op het bestand dat niet toestaan. <\/p>\n
Het venster voor exploitatie ontstaat doordat de functie «__ptrace_may_access()» de controle op de toegang tot het bestand overslaat, als het veld task->mm is ingesteld op NULL na het uitvoeren van exit_mm(), maar v\u00f3\u00f3r de aanroep van exit_files(). Momenteel beschouwt de systeemaanroep pidfd_getfd dat de gebruikersidentificatie (uid) van het aanroepende proces overeenkomt met de identificatie die toegang tot het bestand heeft. Opmerkelijk is dat het probleem eerder in 2020 al onder de aandacht was gebracht, maar het is tot nu toe onopgelost gebleven. <\/p>\n
In de exploit die de inhoud van \/etc\/shadow verkrijgt, komt de aanval neer op het cyclisch uitvoeren van de applicatie \/usr\/bin\/chage met de suid root-vlag, die de inhoud van \/etc\/shadow leest. Nadat het proces is afgeleid, wordt de systeemaanroep pidfd_open uitgevoerd en wordt er een cyclische doorloop van beschikbare pidfd-descriptoren uitgevoerd via de systeemaanroep pidfd_getfd en hun controle via \/proc\/self\/fd. In de exploit sshkeysign_pwn worden vergelijkbare manipulaties uitgevoerd met de suid root-applicatie ssh-keysign. <\/p>\n
CVE-identificator voor problemen is nog niet toegewezen, updates van de kernel en pakketten in distributies zijn nog niet gepubliceerd. In de een paar uur geleden uitgebrachte kernels 7.0.7, 6.18.30 en 6.12.88 is de kwetsbaarheid niet verholpen. Op het moment van schrijven kan alleen de patch worden gebruikt. Er worden mogelijke workarounds besproken om de kwetsbaarheid te blokkeren, zoals het instellen van sysctl kernel.yama.ptrace_scope=3 of het verwijderen van de suid root-vlag van uitvoerbare bestanden in het systeem (ten minste voor de tools ssh-keysign en chage, die in exploits worden gebruikt).