{"id":107498,"date":"2023-03-24T12:48:20","date_gmt":"2023-03-24T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=107498"},"modified":"2023-03-24T20:21:30","modified_gmt":"2023-03-24T18:21:30","slug":"uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","title":{"rendered":"Zagro\u017cenie w OverlayFS, kt\u00f3re pozwala na podniesienie swoich przywilej\u00f3w","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W j\u0105drze Linux w implementacji systemu plik\u00f3w OverlayFS wykryto luk\u0119 (CVE-2023-0386), kt\u00f3r\u0105 mo\u017cna wykorzysta\u0107 do uzyskania dost\u0119pu root w systemach, w kt\u00f3rych zainstalowana jest podsystem FUSE i umo\u017cliwione jest montowanie partycji OverlayFS przez u\u017cytkownika bez uprawnie\u0144 (pocz\u0105wszy od j\u0105dra Linux 5.11 z w\u0142\u0105czonymi nieuprzywilejowanymi przestrzeniami nazw u\u017cytkownika). Problem zosta\u0142 usuni\u0119ty w ga\u0142\u0119zi j\u0105dra 6.2. Publikacj\u0119 aktualizacji pakiet\u00f3w w dystrybucjach mo\u017cna \u015bledzi\u0107 na stronach: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch. <\/p>\n
Atak jest przeprowadzana poprzez kopiowanie plik\u00f3w z flagami setgid\/setuid z partycji zamontowanej w trybie nosuid do warstwy OverlayFS, kt\u00f3ra jest zwi\u0105zana z partycj\u0105 umo\u017cliwiaj\u0105c\u0105 uruchamianie plik\u00f3w suid. Ta podatno\u015b\u0107 jest zbli\u017cona do problemu CVE-2021-3847, ujawnionego w 2021 roku, lecz r\u00f3\u017cni si\u0119 ni\u017cszymi wymaganiami eksploatacyjnymi \u2014 w starym problemie konieczne by\u0142y manipulacje xattrs, kt\u00f3re s\u0105 ograniczone w przypadku korzystania z przestrzeni nazw identyfikator\u00f3w u\u017cytkownika (user namespace), a w nowym problemie wykorzystuje si\u0119 bity setgid\/setuid, kt\u00f3re nie s\u0105 specjalnie obs\u0142ugiwane w user namespace. <\/p>\n
Algorytm przeprowadzenia ataku: <\/p>\n
\n
Korzystaj\u0105c z podsystemu FUSE, montowana jest system plik\u00f3w, w kt\u00f3rym znajduje si\u0119 plik wykonywalny nale\u017c\u0105cy do u\u017cytkownika root z flagami setuid\/setgid, dost\u0119pnym dla wszystkich u\u017cytkownik\u00f3w do zapisu. Podczas montowania FUSE ustawia tryb \u201enosuid\u201d.\n
Monta\u017c OverlayFS z wcze\u015bniej utworzon\u0105 w FUSE FS jako doln\u0105 warstw\u0105 i g\u00f3rn\u0105 warstw\u0105 opart\u0105 na katalogu, kt\u00f3ry zezwala na zapis. Katalog g\u00f3rnej warstwy musi znajdowa\u0107 si\u0119 w systemie plik\u00f3w, przy montowaniu kt\u00f3rego nie u\u017cywa si\u0119 flagi \u201enosuid\u201d.\n
Dla pliku suid w FUSE-partcji, za pomoc\u0105 narz\u0119dzia touch zmieniane jest czas modyfikacji, co prowadzi do jego skopiowania do warstwy g\u00f3rnej OverlayFS.\n
Podczas kopiowania j\u0105dro nie usuwa flag setgid\/setuid, co powoduje, \u017ce plik pojawia si\u0119 w partycji, kt\u00f3ra umo\u017cliwia przetwarzanie setgid\/setuid.\n
Aby uzyska\u0107 prawa root, wystarczy uruchomi\u0107 plik z flagami setgid\/setuid z katalogu przypi\u0119tego do warstwy g\u00f3rnej OverlayFS. <\/ul>\n
Dodatkowo mo\u017cna zauwa\u017cy\u0107 ujawnienie przez badaczy z zespo\u0142u Google Project Zero informacji o trzech lukach, kt\u00f3re zosta\u0142y naprawione w g\u0142\u00f3wnej ga\u0142\u0119zi j\u0105dra Linux 5.15, ale nie zosta\u0142y przeniesione do pakiet\u00f3w z j\u0105drem RHEL 8.x\/9.x i CentOS Stream 9. <\/p>\n
\n
CVE-2023-1252 \u2014 dost\u0119p do ju\u017c zwolnionego obszaru pami\u0119ci w strukturze ovl_aio_req podczas wykonywania r\u00f3wnoleg\u0142ych operacji w OverlayFS, rozpo\u015bcieraj\u0105cym si\u0119 nad systemem plik\u00f3w Ext4. Potencjalnie ta podatno\u015b\u0107 pozwala na podniesienie swoich uprawnie\u0144 w systemie.\n
CVE-2023-0590 \u2014 dost\u0119p do ju\u017c zwolnionego obszaru pami\u0119ci w funkcji qdisc_graft(). Uwa\u017ca si\u0119, \u017ce eksploatacja ogranicza si\u0119 do awaryjnego zamkni\u0119cia.\n
CVE-2023-1249 \u2014 dost\u0119p do ju\u017c zwolnionego obszaru pami\u0119ci w kodzie zapisu coredump, spowodowany pomini\u0119ciem wywo\u0142ania mmap_lock w file_files_note. Uwa\u017ca si\u0119, \u017ce eksploatacja ogranicza si\u0119 do awaryjnego zamkni\u0119cia. <\/ul>\n