No n\u00facleo do Linux, foi descoberta a quinta vulnerabilidade cr\u00edtica (1, 2, 3) das \u00faltimas duas semanas, permitindo que um usu\u00e1rio eleve suas permiss\u00f5es no sistema. Dois exploits funcionais foram publicados: sshkeysign_pwn permite que um usu\u00e1rio n\u00e3o privilegiado leia o conte\u00fado das chaves SSH host privadas em \/etc\/ssh\/ssh_host_*_key, enquanto chage_pwn \u2014 permite a leitura do conte\u00fado do arquivo \/etc\/shadow com os hashes das senhas dos usu\u00e1rios. <\/p>\n
As informa\u00e7\u00f5es sobre a vulnerabilidade n\u00e3o estavam planejadas para divulga\u00e7\u00e3o, mas um dos pesquisadores de seguran\u00e7a conseguiu determinar a ess\u00eancia da vulnerabilidade com base no patch proposto para o n\u00facleo, permitindo a leitura de arquivos dispon\u00edveis apenas para o usu\u00e1rio root, como \/etc\/shadow. A mudan\u00e7a incorporada ao n\u00facleo ajustou a l\u00f3gica de uso da fun\u00e7\u00e3o get_dumpable() no ptrace ao determinar o n\u00edvel de acesso na fun\u00e7\u00e3o ptrace_may_access(). <\/p>\n
A vulnerabilidade \u00e9 diretamente causada por uma condi\u00e7\u00e3o de competi\u00e7\u00e3o que leva \u00e0 possibilidade de acesso n\u00e3o privilegiado a um descritor de arquivo pidfd ap\u00f3s a chamada a um arquivo de um processo suid root. No intervalo entre a abertura do arquivo e a queda de privil\u00e9gios no programa suid (como atrav\u00e9s da fun\u00e7\u00e3o setreuid), surge uma situa\u00e7\u00e3o em que o aplicativo que iniciou o programa suid root pode, atrav\u00e9s do descritor pidfd, acessar um arquivo aberto no programa suid, mesmo que os permiss\u00f5es do arquivo n\u00e3o permitam isso. <\/p>\n
A janela para explora\u00e7\u00e3o surge porque a fun\u00e7\u00e3o \u00ab__ptrace_may_access()\u00bb ignora a verifica\u00e7\u00e3o de acesso ao arquivo, se o campo task->mm estiver definido como NULL ap\u00f3s a execu\u00e7\u00e3o de exit_mm(), mas antes da chamada exit_files(). No momento, a chamada de sistema pidfd_getfd considera que o identificador de usu\u00e1rio (uid) do processo chamador corresponde ao identificador ao qual o acesso ao arquivo \u00e9 permitido. Notavelmente, o problema foi destacado anteriormente em 2020, mas permaneceu sem corre\u00e7\u00e3o. <\/p>\n
No exploit que obt\u00e9m o conte\u00fado de \/etc\/shadow, o ataque consiste na execu\u00e7\u00e3o c\u00edclica do aplicativo \/usr\/bin\/chage com a flag suid root, que l\u00ea o conte\u00fado de \/etc\/shadow atrav\u00e9s de fork+execl. Ap\u00f3s o processo ser bifurcado, ocorre a chamada de sistema pidfd_open e uma itera\u00e7\u00e3o c\u00edclica pelos descritores pidfd dispon\u00edveis atrav\u00e9s da chamada de sistema pidfd_getfd, verificando-os atrav\u00e9s de \/proc\/self\/fd. No exploit sshkeysign_pwn, manobras semelhantes s\u00e3o realizadas com o programa suid root ssh-keysign. <\/p>\n
O identificador CVE para o problema ainda n\u00e3o foi atribu\u00eddo, e as atualiza\u00e7\u00f5es do n\u00facleo e pacotes nas distribui\u00e7\u00f5es n\u00e3o foram publicadas. Nos n\u00facleos lan\u00e7ados h\u00e1 algumas horas, 7.0.7, 6.18.30 e 6.12.88, a vulnerabilidade n\u00e3o foi corrigida. No momento da reda\u00e7\u00e3o da mat\u00e9ria, apenas um patch pode ser usado. Atualmente, est\u00e3o sendo discutidas poss\u00edveis medidas para contornar a vulnerabilidade, como definir sysctl kernel.yama.ptrace_scope=3 ou remover a flag suid root de arquivos execut\u00e1veis no sistema (pelo menos das ferramentas ssh-keysign e chage, utilizadas em exploits).