{"id":100548,"date":"2021-06-20T10:22:54","date_gmt":"2021-06-20T08:22:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm"},"modified":"2021-06-20T10:22:54","modified_gmt":"2021-06-20T08:22:55","slug":"uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","title":{"rendered":"Vulnerabilidade no n\u00facleo Linux afeta o protocolo de rede CAN BCM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Uma vulnerabilidade foi identificada no n\u00facleo do Linux (CVE-2021-3609), permitindo que um usu\u00e1rio local aumente suas permiss\u00f5es no sistema. O problema \u00e9 causado por uma condi\u00e7\u00e3o de corrida na implementa\u00e7\u00e3o do protocolo CAN BCM e se manifesta nas vers\u00f5es do n\u00facleo do Linux, de 2.6.25 at\u00e9 5.13-rc6. Nos distribui\u00e7\u00f5es, o problema ainda n\u00e3o foi corrigido (RHEL, Fedora, Debian, Ubuntu, SUSE, Arch). <\/p>\n
O pesquisador que identificou a vulnerabilidade conseguiu preparar um exploit para obter privil\u00e9gios de root em sistemas com n\u00facleos Linux 5.4 e mais recentes, demonstrando a possibilidade de conduzir um ataque com sucesso no Ubuntu 20.04.02 LTS. N\u00e3o est\u00e1 exclu\u00edda a possibilidade de reestruturar o exploit para funcionar com n\u00facleos mais antigos (no n\u00facleo 5.4, o c\u00f3digo CAN BCM (net\/can\/bcm.c) foi transferido de hrtimer_tasklet para HRTIMER_MODE_SOFT). <\/p>\n
O protocolo CAN BCM permite registrar um pr\u00f3prio manipulador de mensagens que chegam pela barramento CAN (controller area network) e vincul\u00e1-lo a um socket de rede espec\u00edfico. Quando uma mensagem de entrada chega, a fun\u00e7\u00e3o bcm_rx_handler() \u00e9 chamada. O atacante pode aproveitar a condi\u00e7\u00e3o de corrida e provocar o fechamento do socket de rede ao mesmo tempo que bcm_rx_handler() est\u00e1 sendo executada. Ao fechar o socket, a fun\u00e7\u00e3o bcm_release() \u00e9 chamada, que libera a mem\u00f3ria alocada para as estruturas bcm_op e bcm_sock, que continuam a ser usadas no manipulador bcm_rx_handler() que ainda est\u00e1 em execu\u00e7\u00e3o. Isso resulta em uma situa\u00e7\u00e3o que leva a uma refer\u00eancia a um bloco de mem\u00f3ria j\u00e1 liberado (use-after-free). <\/p>\n
O ataque consiste na abertura de dois sockets CAN BCM e vincul\u00e1-los \u00e0 interface vcan. No primeiro socket, a chamada sendmsg() \u00e9 executada com a flag RX_SETUP para configurar o manipulador de mensagens CAN recebidas, enquanto no segundo socket, \u00e9 feita uma chamada sendmsg() para enviar uma mensagem ao primeiro socket. Ap\u00f3s a recep\u00e7\u00e3o da mensagem, a chamada bcm_rx_handler() \u00e9 ativada, e o atacante escolhe o momento certo para fechar o primeiro socket, o que acarreta a execu\u00e7\u00e3o de bcm_release() e a libera\u00e7\u00e3o das estruturas bcm_op e bcm_sock, mesmo com a execu\u00e7\u00e3o de bcm_rx_handler() ainda n\u00e3o finalizada. <\/p>\n
Por meio de manipula\u00e7\u00f5es com o conte\u00fado do bcm_sock, um atacante pode redefinir o ponteiro para a fun\u00e7\u00e3o sk->sk_data_ready(sk), redirecionar a execu\u00e7\u00e3o e, utilizando t\u00e9cnicas de Programa\u00e7\u00e3o Orientada ao Retorno (ROP - Return-Oriented Programming), organizar a reescrita do par\u00e2metro modprobe_path e conseguir a execu\u00e7\u00e3o de seu c\u00f3digo com privil\u00e9gios de root. Ao usar a t\u00e9cnica ROP, o atacante n\u00e3o tenta colocar seu c\u00f3digo na mem\u00f3ria, mas opera peda\u00e7os de instru\u00e7\u00f5es de m\u00e1quina que j\u00e1 est\u00e3o nas bibliotecas carregadas e que terminam com uma instru\u00e7\u00e3o de retorno (geralmente, s\u00e3o os finais de fun\u00e7\u00f5es de bibliotecas). A opera\u00e7\u00e3o do exploit consiste em construir uma cadeia de chamadas a esses blocos (os \"gadgets\") para obter a funcionalidade desejada.
<\/center> <\/p>\n
Para a ataque, \u00e9 necess\u00e1rio ter acesso para criar soquetes CAN e uma interface de rede vcan configurada. Os privil\u00e9gios necess\u00e1rios para realizar o ataque podem ser obtidos por um usu\u00e1rio n\u00e3o privilegiado em cont\u00eaineres criados em sistemas com suporte a espa\u00e7os de nomes de identificadores de usu\u00e1rios (user namespaces) ativado. Por exemplo, os namespaces de usu\u00e1rios s\u00e3o ativados por padr\u00e3o no Ubuntu e no Fedora, mas n\u00e3o est\u00e3o habilitados no Debian e no RHEL. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Vulnerabilidade](\"\/wp-content\/uploads\/2021\/06\/60534f0194a819c8401abf2ec53b3a9a.png\")
<\/center> <\/p>\n