Firma Qualys zidentyfikowa\u0142a gro\u017an\u0105 luk\u0119 (CVE-2023-4911) w loaderze ld.so, dostarczanym w ramach biblioteki systemowej C Glibc (GNU libc). Luka umo\u017cliwia lokalnemu u\u017cytkownikowi podniesienie swoich uprawnie\u0144 w systemie poprzez okre\u015blenie specjalnie sformatowanych danych w zmiennej \u015brodowiskowej GLIBC_TUNABLES przed uruchomieniem pliku wykonywalnego z flag\u0105 suid root, na przyk\u0142ad, \/usr\/bin\/su. <\/p>\n
Mo\u017cliwo\u015b\u0107 skutecznego wykorzystania luki zosta\u0142a zademonstrowana w Fedora 37 i 38, Ubuntu 22.04 i 23.04, Debian 12 i 13. Zak\u0142ada si\u0119, \u017ce luka ta wyst\u0119puje tak\u017ce w innych dystrybucjach korzystaj\u0105cych z Glibc. Dystrybucje oparte na bibliotece systemowej Musl, takie jak Alpine Linux, nie s\u0105 nara\u017cone na ten problem. Luka zosta\u0142a usuni\u0119ta w \u0142atce, kt\u00f3ra zosta\u0142a dodana 2 pa\u017adziernika. Mo\u017cna \u015bledzi\u0107 wydanie aktualizacji pakiet\u00f3w w dystrybucjach na stronach Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, Gentoo, ALT Linux. <\/p>\n
Luka jest spowodowana zmian\u0105 wprowadzonej w kwietniu 2021 roku, kt\u00f3ra wesz\u0142a w sk\u0142ad wydania glibc 2.34. Z powodu b\u0142\u0119du w kodzie parsowania polecenia podanego w zmiennej \u015brodowiskowej GLIBC_TUNABLES, b\u0142\u0119dna kombinacja parametr\u00f3w w tej zmiennej powoduje zapis sparsowanego warto\u015bci poza przydzielonym buforem. Problem objawia si\u0119, gdy zamiast standardowych ci\u0105g\u00f3w \u201ename=val\u201d parametry s\u0105 podawane w formie podw\u00f3jnego przypisania \u201ename=name=val\u201d. W takim przypadku przypisanie jest przetwarzane dwukrotnie, najpierw jako \u201ename=name=val\u201d, a potem jako \u201ename=val\u201d. Z powodu takiego podw\u00f3jnego przetwarzania powstaje wynik \u201ename=name=val:name=val\u201d, kt\u00f3rego rozmiar przekracza rozmiar bufora tunestr. <\/p>\n
Badacze opracowali stabilnie dzia\u0142aj\u0105cy exploit, kt\u00f3ry pozwala uzyska\u0107 prawa root przy zastosowaniu go z praktycznie ka\u017cdym programem z flag\u0105 suid root. Wyj\u0105tkiem s\u0105 polecenia sudo (zmieniaj\u0105ce warto\u015b\u0107 ELF RUNPATH), polecenia chage i passwd w systemie Fedora (chronione oddzielnymi zasadami SELinux) oraz polecenie snap-confine w systemie Ubuntu (chronione oddzielnymi zasadami AppArmor). Proponowana metoda eksploatacji nie dzia\u0142a r\u00f3wnie\u017c w RHEL 8 i RHEL 9, chocia\u017c te ga\u0142\u0119zie s\u0105 r\u00f3wnie\u017c podatne na luk\u0119 (do ataku wymagana jest inna metoda eksploatacji). Kod exploitu zostanie opublikowany p\u00f3\u017aniej po powszechnym usuni\u0119ciu luki. Aby sprawdzi\u0107, czy tw\u00f3j system jest podatny na t\u0119 luk\u0119, mo\u017cesz u\u017cy\u0107 podanej poni\u017cej komendy, kt\u00f3ra w przypadku wyst\u0105pienia problemu zako\u0144czy si\u0119 awari\u0105: env -i \u201eGLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=A\u201d \u201eZ=`printf '192x' 1`\u201d \/usr\/bin\/su \u2014help <\/p>\n
Osobno zaznaczone zosta\u0142o usuni\u0119cie w Glibc jeszcze dw\u00f3ch luk: <\/p>\n