Pesquisadores de seguran\u00e7a da Qualys revelaram os detalhes de duas vulnerabilidades que afetam o n\u00facleo Linux e o gerenciador de sistema systemd. A vulnerabilidade no n\u00facleo (CVE-2021-33909) permite que um usu\u00e1rio local consiga executar c\u00f3digo com privil\u00e9gios de root atrav\u00e9s da manipula\u00e7\u00e3o de diret\u00f3rios com grande profundidade. <\/p>\n
O perigo da vulnerabilidade \u00e9 agravado pelo fato de que os pesquisadores conseguiram desenvolver exploits funcionais, que operam em Ubuntu 20.04\/20.10\/21.04, Debian 11 e Fedora 34 na configura\u00e7\u00e3o padr\u00e3o. Observa-se que outras distribui\u00e7\u00f5es n\u00e3o foram testadas, mas teoricamente tamb\u00e9m est\u00e3o suscet\u00edveis ao problema e podem ser atacadas. O c\u00f3digo completo dos exploits promete ser publicado ap\u00f3s a resolu\u00e7\u00e3o generalizada da quest\u00e3o, enquanto isso, apenas um prot\u00f3tipo funcional limitado, que causa a falha do sistema, est\u00e1 dispon\u00edvel. O problema existe desde julho de 2014 e afeta vers\u00f5es do n\u00facleo a partir da 3.16. A corre\u00e7\u00e3o da vulnerabilidade foi coordenada com a comunidade e foi aceita no n\u00facleo em 19 de julho. As principais distribui\u00e7\u00f5es j\u00e1 formaram atualiza\u00e7\u00f5es de pacotes com o n\u00facleo (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
A vulnerabilidade \u00e9 causada pela falta de verifica\u00e7\u00e3o do resultado da convers\u00e3o de type size_t para int antes da execu\u00e7\u00e3o de opera\u00e7\u00f5es no c\u00f3digo seq_file, que cria arquivos a partir de uma sequ\u00eancia de registros. A aus\u00eancia de verifica\u00e7\u00e3o pode levar \u00e0 grava\u00e7\u00e3o em uma \u00e1rea fora dos limites do buffer ao criar, montar e remover uma estrutura de diret\u00f3rios com um n\u00edvel de aninhamento muito alto (tamanho do caminho superior a 1 GB). Como resultado, um atacante pode conseguir escrever uma string de 10 bytes \"\/\/deleted\" com um deslocamento \"- 2 GB - 10 bytes\", indicando uma \u00e1rea imediatamente anterior ao buffer alocado. <\/p>\n
O exploit preparado requer 5 GB de mem\u00f3ria e 1 milh\u00e3o de inodes livres para funcionar. A opera\u00e7\u00e3o do exploit consiste em criar, atrav\u00e9s da chamada mkdir(), uma hierarquia de cerca de um milh\u00e3o de diret\u00f3rios aninhados para alcan\u00e7ar um tamanho de caminho de arquivo superior a 1 GB. Este diret\u00f3rio \u00e9 montado por meio de um bind-mount em um espa\u00e7o de nomes de identificadores de usu\u00e1rios (user namespace) separado, ap\u00f3s o que a fun\u00e7\u00e3o rmdir() \u00e9 chamada para sua exclus\u00e3o. Paralelamente, um thread \u00e9 criado que carrega um pequeno programa eBPF, que \u00e9 bloqueado na fase ap\u00f3s a verifica\u00e7\u00e3o do pseudoc\u00f3digo eBPF, mas antes de sua compila\u00e7\u00e3o JIT. <\/p>\n
Em um espa\u00e7o de nomes de identificadores de usu\u00e1rios n\u00e3o privilegiado, \u00e9 aberto o arquivo \/proc\/self\/mountinfo e come\u00e7a a leitura de um longo caminho de diret\u00f3rio montado por meio de bind-mount, o que leva \u00e0 grava\u00e7\u00e3o da string \"\/\/deleted\" em uma \u00e1rea antes do in\u00edcio do buffer. A posi\u00e7\u00e3o para gravar a string \u00e9 escolhida de forma que sobrescreva uma instru\u00e7\u00e3o em um programa eBPF j\u00e1 verificado, mas ainda n\u00e3o compilado. <\/p>\n
Em seguida, no n\u00edvel do programa eBPF, a grava\u00e7\u00e3o n\u00e3o controlada fora do buffer \u00e9 transformada em uma oportunidade controlada de leitura e grava\u00e7\u00e3o em outras estruturas do n\u00facleo por meio da manipula\u00e7\u00e3o das estruturas btf e map_push_elem. Como resultado, o exploit determina a localiza\u00e7\u00e3o do buffer modprobe_path[] na mem\u00f3ria do n\u00facleo e sobrescreve nele o caminho \"\/\/sbin\/modprobe\", permitindo a execu\u00e7\u00e3o de qualquer arquivo execut\u00e1vel com privil\u00e9gios de root em caso de chamada request_module(), que \u00e9 executada, por exemplo, ao criar um soquete netlink. <\/p>\n
Os pesquisadores apresentam v\u00e1rios m\u00e9todos de contorno de prote\u00e7\u00e3o que s\u00e3o eficazes apenas para um exploit espec\u00edfico, mas n\u00e3o resolvem o problema em si. Recomenda-se definir o par\u00e2metro \"\/proc\/sys\/kernel\/unprivileged_userns_clone\" para 0 para proibir a montagem de diret\u00f3rios em um espa\u00e7o de nomes de identificadores de usu\u00e1rios separado, assim como \"\/proc\/sys\/kernel\/unprivileged_bpf_disabled\" para 1 para proibir o carregamento de programas eBPF no n\u00facleo.