Badacze bezpiecze\u0144stwa z firmy Qualys ujawnili szczeg\u00f3\u0142y dw\u00f3ch luk wp\u0142ywaj\u0105cych na j\u0105dro Linux oraz mened\u017cer systemowy systemd. Luka w j\u0105drze (CVE-2021-33909) pozwala lokalnemu u\u017cytkownikowi doprowadzi\u0107 do wykonania kodu z uprawnieniami root poprzez manipulacje katalogami o bardzo du\u017cym poziomie zagnie\u017cd\u017cenia. <\/p>\n
Zagro\u017cenie zwi\u0105zane z t\u0105 luk\u0105 pot\u0119guje fakt, \u017ce badaczom uda\u0142o si\u0119 przygotowa\u0107 dzia\u0142aj\u0105ce exploity, kt\u00f3re funkcjonuj\u0105 w Ubuntu 20.04\/20.10\/21.04, Debian 11 oraz Fedora 34 w konfiguracji domy\u015blnej. Zaznaczono, \u017ce inne dystrybucje nie by\u0142y testowane, ale teoretycznie r\u00f3wnie\u017c s\u0105 podatne na ten problem i mog\u0105 sta\u0107 si\u0119 celem ataku. Pe\u0142ny kod exploit\u00f3w ma zosta\u0107 opublikowany po powszechnym usuni\u0119ciu problemu, a na razie dost\u0119pny jest jedynie prototyp o ograniczonej funkcjonalno\u015bci, powoduj\u0105cy awari\u0119 systemu. Problem wyst\u0119puje od lipca 2014 roku i dotyczy wersji j\u0105dra od 3.16 wzwy\u017c. Usuni\u0119cie luki zosta\u0142o skoordynowane ze spo\u0142eczno\u015bci\u0105 i w\u0142\u0105czone do j\u0105dra 19 lipca. G\u0142\u00f3wne dystrybucje przygotowa\u0142y ju\u017c aktualizacje pakiet\u00f3w z nowym j\u0105drem (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Wra\u017cliwo\u015b\u0107 jest spowodowana brakiem weryfikacji wyniku konwersji type_t na int przed wykonaniem operacji w kodzie seq_file, kt\u00f3ry tworzy pliki z sekwencji rekord\u00f3w. Brak weryfikacji mo\u017ce prowadzi\u0107 do zapisu poza granicami bufora podczas tworzenia, montowania i usuwania struktury katalog\u00f3w o bardzo du\u017cym poziomie zagnie\u017cd\u017cenia (rozmiar \u015bcie\u017cki przekraczaj\u0105cy 1 GB). W konsekwencji atakuj\u0105cy mo\u017ce uzyska\u0107 zapis 10-bajtowego ci\u0105gu «\\\/deleted» z przesuni\u0119ciem «- 2 GB — 10 bajt\u00f3w», wskazuj\u0105cym na obszar tu\u017c przed przydzielonym buforem. <\/p>\n
Przygotowany exploit wymaga do dzia\u0142ania 5 GB pami\u0119ci i 1 miliona wolnych inode. Jego dzia\u0142anie sprowadza si\u0119 do utworzenia za pomoc\u0105 wywo\u0142ania mkdir() hierarchii oko\u0142o miliona zagnie\u017cd\u017conych katalog\u00f3w, aby osi\u0105gn\u0105\u0107 d\u0142ugo\u015b\u0107 \u015bcie\u017cki pliku przekraczaj\u0105c\u0105 1 GB. Nast\u0119pnie ten katalog jest montowany przez bind-mount w oddzielnej przestrzeni nazw identyfikator\u00f3w u\u017cytkownik\u00f3w (user namespace), po czym uruchamiana jest funkcja rmdir() w celu jego usuni\u0119cia. R\u00f3wnolegle tworzony jest w\u0105tek \u0142aduj\u0105cy niewielki program eBPF, kt\u00f3ry zostaje zablokowany po etapie weryfikacji pseudokodu eBPF, ale przed jego kompilacj\u0105 JIT. <\/p>\n
W nieuprzywilejowanej przestrzeni nazw identyfikator\u00f3w u\u017cytkownik\u00f3w otwierany jest plik \\\/proc\\\/self\\\/mountinfo i rozpoczyna si\u0119 odczyt d\u0142ugiej \u015bcie\u017cki katalogu zamontowanego przy u\u017cyciu bind-mount, co prowadzi do zapisu ci\u0105gu «\\\/deleted» w obszarze przed pocz\u0105tkiem bufora. Pozycja dla zapisu ci\u0105gu jest wybierana w taki spos\u00f3b, aby nadpisa\u0107 instrukcj\u0119 w ju\u017c zweryfikowanym, ale jeszcze nie skompilowanym programie eBPF. <\/p>\n
Nast\u0119pnie na poziomie programu eBPF, niekontrolowany zapis poza buforem przekszta\u0142ca si\u0119 w kontrolowan\u0105 mo\u017cliwo\u015b\u0107 odczytu i zapisu w inne struktury j\u0105dra przez manipulacj\u0119 strukturami btf i map_push_elem. W rezultacie exploit okre\u015bla lokalizacj\u0119 bufora modprobe_path[] w pami\u0119ci j\u0105dra i nadpisuje w nim \u015bcie\u017ck\u0119 «\\\/sbin\\\/modprobe», co pozwala na uruchomienie dowolnego pliku wykonywalnego z prawami root w przypadku wywo\u0142ania request_module(), kt\u00f3re jest realizowane na przyk\u0142ad podczas tworzenia gniazda netlink. <\/p>\n
Badacze przedstawiaj\u0105 kilka metod obej\u015bcia zabezpiecze\u0144, kt\u00f3re s\u0105 skuteczne tylko dla konkretnego exploita, ale nie rozwi\u0105zuj\u0105 samego problemu. Zaleca si\u0119 ustawienie parametru «\\\/proc\\\/sys\\\/kernel\\\/unprivileged_userns_clone» na warto\u015b\u0107 0, aby zabroni\u0107 montowania katalog\u00f3w w oddzielnej przestrzeni nazw identyfikator\u00f3w u\u017cytkownik\u00f3w, a tak\u017ce «\\\/proc\\\/sys\\\/kernel\\\/unprivileged_bpf_disabled» na 1, aby zabroni\u0107 \u0142adowania program\u00f3w eBPF do j\u0105dra.