{"id":99693,"date":"2021-04-09T16:22:51","date_gmt":"2021-04-09T14:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-podsisteme-ebpf-yadra-linux"},"modified":"2021-04-09T16:22:51","modified_gmt":"2021-04-09T14:22:51","slug":"uyazvimosti-v-podsisteme-ebpf-yadra-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimosti-v-podsisteme-ebpf-yadra-linux","title":{"rendered":"Kwetsbaarheden in de eBPF-subsysteem van de Linux-kernel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In het eBPF-subsysteem, dat het mogelijk maakt om handlers uit te voeren voor tracing, prestatieanalyse van subsystemen en verkeersbeheer, uitgevoerd binnen de Linux-kernel in een speciale virtuele machine met JIT, is een kwetsbaarheid (CVE-2021-29154) ontdekt die een lokale gebruiker in staat stelt zijn code op kernel-niveau uit te voeren. Dit probleem doet zich voor tot en met versie 5.11.12 (inclusief) en is nog niet opgelost in distributies (Debian, Ubuntu, RHEL, Fedora, SUSE, Arch). Een patch is beschikbaar. <\/p>\n
Volgens de onderzoekers die de kwetsbaarheid hebben ontdekt, is het hen gelukt om een werkend prototype van een exploit te ontwikkelen voor 32- en 64-bits x86-systemen, die door een niet-bevoegd gebruiker kan worden gebruikt. Daarbij merkt Red Hat op dat het gevaar van het probleem afhangt van de beschikbaarheid van de eBPF-systeemaanroep voor de gebruiker. Bij voorbeeld in RHEL en de meeste andere Linux-distributies kan de kwetsbaarheid in de standaardconfiguratie worden misbruikt als BPF JIT is ingeschakeld en de gebruiker de rechten CAP_SYS_ADMIN heeft. Als tijdelijke oplossing wordt aangeraden om BPF JIT uit te schakelen met het commando: echo 0 > \/proc\/sys\/net\/core\/bpf_jit_enable <\/p>\n
Het probleem wordt veroorzaakt door een fout in de berekening van de offset voor branch-instructies tijdens het genereren van machinecode door de JIT-compiler. In het bijzonder wordt bij het genereren van branch-instructies niet rekening gehouden met het feit dat de offset kan veranderen na de optimalisatiestap. Deze tekortkoming kan worden gebruikt om abnormale machinecode te genereren en deze op kernel-niveau uit te voeren. <\/p>\n
Opmerkelijk is dat dit niet de enige kwetsbaarheid in het eBPF-subsysteem is die recentelijk is aangetroffen. Eind maart werden er nog twee kwetsbaarheden (CVE-2020-27170, CVE-2020-27171) in de kernel ontdekt, die de mogelijkheid bieden om eBPF te gebruiken om bescherming tegen Spectre-kwetsbaarheden te omzeilen, wat het mogelijk maakt de inhoud van kernelgeheugen te bepalen door condities te cre\u00ebren voor speculatieve uitvoering van bepaalde operaties. Voor een Spectre-aanval is een specifieke reeks instructies in de bevoorrechte code vereist die leidt tot de speculatieve uitvoering van instructies. In eBPF zijn er verschillende manieren gevonden om dergelijke instructies te genereren via manipulatie van de BPF-programma's die ter uitvoering worden doorgegeven. <\/p>\n
De kwetsbaarheid CVE-2020-27170 wordt veroorzaakt door het bestaan van pointermanipulatie in de BPF-verifier, wat leidt tot speculatieve operaties die toegang geven tot gegevens buiten de buffergrenzen. De kwetsbaarheid CVE-2020-27171 is gerelateerd aan een fout in de gehele getallenrekenkunde (integer underflow) bij het werken met pointers, wat leidt tot speculatieve toegang tot gegevens buiten de buffer. De genoemde problemen zijn al verholpen in de kernelversies 5.11.8, 5.10.25, 5.4.107, 4.19.182 en 4.14.227, en zijn ook opgenomen in de kernelupdates van de meeste Linux-distributies. Onderzoekers hebben een prototype-exploit ontwikkeld waarmee een niet-bevoorrechte gebruiker gegevens uit het kerngeheugen kan extraheren. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"