{"id":107498,"date":"2023-03-24T12:48:20","date_gmt":"2023-03-24T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=107498"},"modified":"2023-03-24T20:21:30","modified_gmt":"2023-03-24T18:21:30","slug":"uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-overlayfs-pozvolyayushhaya-povysit-svoi-privilegii","title":{"rendered":"Vulnerabilidade no OverlayFS permite eleva\u00e7\u00e3o de privil\u00e9gios","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
No n\u00facleo do Linux, foi identificada uma vulnerabilidade na implementa\u00e7\u00e3o do sistema de arquivos OverlayFS (CVE-2023-0386), que pode ser explorada para obter acesso root em sistemas onde a subsistema FUSE est\u00e1 instalado e o montagem de divis\u00f5es OverlayFS \u00e9 permitido para usu\u00e1rios n\u00e3o privilegiados (a partir do n\u00facleo Linux 5.11 com a inclus\u00e3o de namespaces de usu\u00e1rio n\u00e3o privilegiados). O problema foi corrigido na vers\u00e3o do n\u00facleo 6.2. A publica\u00e7\u00e3o de atualiza\u00e7\u00f5es de pacotes nas distribui\u00e7\u00f5es pode ser acompanhada nas p\u00e1ginas: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch. <\/p>\n
O ataque \u00e9 realizado atrav\u00e9s da c\u00f3pia de arquivos com as bandeiras setgid\/setuid de uma parti\u00e7\u00e3o montada no modo nosuid para uma parti\u00e7\u00e3o OverlayFS, que possui uma camada vinculada a uma parti\u00e7\u00e3o que permite a execu\u00e7\u00e3o de arquivos suid. A vulnerabilidade \u00e9 semelhante ao problema CVE-2021-3847, identificado em 2021, mas possui requisitos de explora\u00e7\u00e3o mais baixos \u2014 no problema anterior, manipulava-se xattrs, que s\u00e3o restritas ao utilizar namespaces de usu\u00e1rios, enquanto no novo problema s\u00e3o utilizados os bits setgid\/setuid, que n\u00e3o s\u00e3o tratados especificamente no namespace de usu\u00e1rios. <\/p>\n
Algoritmo de realiza\u00e7\u00e3o do ataque: <\/p>\n
\n
Uma filesystem (FS) \u00e9 montada com o subsistema FUSE, onde existe um arquivo execut\u00e1vel pertencente ao usu\u00e1rio root com as bandeiras setuid\/setgid, acess\u00edvel a todos os usu\u00e1rios para grava\u00e7\u00e3o. Ao montar, o FUSE define o modo \"nosuid\".\n
Os namespaces de usu\u00e1rios e pontos de montagem s\u00e3o desfeitos (unshare).\n
Montagem do OverlayFS com a FS anteriormente criada no FUSE como camada inferior e uma camada superior baseada em um diret\u00f3rio que permite grava\u00e7\u00e3o. O diret\u00f3rio da camada superior deve estar localizado em uma FS onde a montagem n\u00e3o utiliza a bandeira \"nosuid\".\n
Para o arquivo suid na divis\u00e3o FUSE, o utilit\u00e1rio touch altera o tempo de modifica\u00e7\u00e3o, levando \u00e0 sua c\u00f3pia para a camada superior do OverlayFS.\n
Durante a c\u00f3pia, o n\u00facleo n\u00e3o remove as flags setgid\/setuid, resultando na apari\u00e7\u00e3o do arquivo em uma divis\u00e3o que permite o processamento de setgid\/setuid.\n
Para obter privil\u00e9gios de root, basta executar o arquivo com flags setgid\/setuid do diret\u00f3rio anexado \u00e0 camada superior do OverlayFS. <\/ul>\n
Adicionalmente, \u00e9 importante mencionar a divulga\u00e7\u00e3o por pesquisadores da equipe Google Project Zero sobre tr\u00eas vulnerabilidades que foram corrigidas na vers\u00e3o principal do n\u00facleo Linux 5.15, mas que n\u00e3o foram transferidas para os pacotes de n\u00facleo das vers\u00f5es RHEL 8.x\/9.x e CentOS Stream 9. <\/p>\n
\n
CVE-2023-1252 \u2014 acesso a uma \u00e1rea de mem\u00f3ria j\u00e1 liberada na estrutura ovl_aio_req ao realizar v\u00e1rias opera\u00e7\u00f5es simultaneamente no OverlayFS implantado sobre uma FS Ext4. Potencialmente, a vulnerabilidade permite elevar privil\u00e9gios no sistema.\n
CVE-2023-0590 \u2014 acesso a uma \u00e1rea de mem\u00f3ria j\u00e1 liberada na fun\u00e7\u00e3o qdisc_graft(). Acredita-se que a explora\u00e7\u00e3o se limite a uma falha acidental.\n
CVE-2023-1249 \u2014 acesso a uma \u00e1rea de mem\u00f3ria j\u00e1 liberada no c\u00f3digo de escrita de coredump, resultante de uma chamada mmap_lock esquecida em file_files_note. Acredita-se que a explora\u00e7\u00e3o se limite a uma falha acidental. <\/ul>\n