{"id":100548,"date":"2021-06-20T10:22:54","date_gmt":"2021-06-20T08:22:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm"},"modified":"2021-06-20T10:22:54","modified_gmt":"2021-06-20T08:22:55","slug":"uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","title":{"rendered":"O vulnerabilitate \u00een nucleul Linux afecteaz\u0103 protocolul de re\u021bea CAN BCM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
O vulnerabilitate a fost descoperit\u0103 \u00een nucleul Linux (CVE-2021-3609) care permite unui utilizator local s\u0103-\u0219i creasc\u0103 privilegiile \u00een sistem. Problema este cauzat\u0103 de o stare de competi\u021bie \u00een implementarea protocolului CAN BCM \u0219i se manifest\u0103 \u00een versiunile nucleului Linux de la 2.6.25 p\u00e2n\u0103 la 5.13-rc6. \u00cen distribu\u021biile actuale, problema r\u0103m\u00e2ne nerezolvat\u0103 (RHEL, Fedora, Debian, Ubuntu, SUSE, Arch). <\/p>\n
Cercet\u0103torul care a identificat vulnerabilitatea a reu\u0219it s\u0103 dezvolte un exploit pentru a ob\u021bine drepturi root pe sistemele cu nucleele Linux 5.4 \u0219i mai recente, demonstr\u00e2nd inclusiv posibilitatea de a efectua un atac reu\u0219it \u00een Ubuntu 20.04.02 LTS. Exist\u0103 posibilitatea adapt\u0103rii exploit-ului \u0219i pentru a func\u021biona cu nuclee mai vechi (\u00een nucleul 5.4, codul CAN BCM (net\/can\/bcm.c) a fost transformat din hrtimer_tasklet \u00een HRTIMER_MODE_SOFT). <\/p>\n
Protocolul CAN BCM permite \u00eenregistrarea propriului handler de mesaje care sosesc prin re\u021beaua CAN (controller area network) \u0219i asocierea acestuia cu un socket de re\u021bea specific. La primirea unui mesaj de intrare, se apeleaz\u0103 func\u021bia bcm_rx_handler(). Atacatorul poate profita de starea de competi\u021bie \u0219i poate provoca \u00eenchiderea socket-ului de re\u021bea \u00een acela\u0219i timp cu execu\u021bia bcm_rx_handler(). La \u00eenchiderea socket-ului, se apeleaz\u0103 func\u021bia bcm_release(), \u00een care se elibereaz\u0103 memoria alocat\u0103 pentru structurile bcm_op \u0219i bcm_sock, care continu\u0103 s\u0103 fie utilizate \u00een handlerul bcm_rx_handler() \u00eenc\u0103 \u00een execu\u021bie. Aceasta duce la o situa\u021bie \u00een care se face referire la un bloc de memorie deja eliberat (use-after-free). <\/p>\n
Atacul const\u0103 \u00een deschiderea a dou\u0103 socket-uri CAN BCM \u0219i legarea acestora la interfa\u021ba vcan. \u00cen primul socket, se execut\u0103 apelul sendmsg() cu flag-ul RX_SETUP pentru a seta handlerul pentru mesajele CAN, iar \u00een cel de-al doilea socket se face apelul sendmsg() pentru a trimite un mesaj \u00een primul socket. Dup\u0103 primirea mesajului, se declan\u0219eaz\u0103 apelul bcm_rx_handler(), iar atacatorul alege momentul potrivit pentru a \u00eenchide primul socket, ceea ce duce la activarea bcm_release() \u0219i eliberarea structurilor bcm_op \u0219i bcm_sock, de\u0219i execu\u021bia bcm_rx_handler() nu s-a \u00eencheiat \u00eenc\u0103. <\/p>\n
Prin manipul\u0103rile cu con\u021binutul bcm_sock, atacatorul poate suprascrie pointerul la func\u021bia sk->sk_data_ready(sk), redirec\u021bion\u00e2nd execu\u021bia \u0219i, folosind tehnici de programare orientat\u0103 pe returnare (ROP - Return-Oriented Programming), poate organiza rescrierea parametrului modprobe_path pentru a ob\u021bine executarea codului s\u0103u cu drepturi de root. \u00cen utilizarea tehnicii ROP, atacatorul nu \u00eencearc\u0103 s\u0103 plaseze codul s\u0103u \u00een memorie, ci opereaz\u0103 cu buc\u0103\u021bile de instruc\u021biuni ma\u0219in\u0103 deja existente \u00een bibliotecile \u00eenc\u0103rcate, care se termin\u0103 cu instruc\u021biunea de returnare a controlului (de obicei, acestea sunt sf\u00e2r\u0219iturile func\u021biilor din biblioteci). Func\u021bionarea exploit-ului se \u00eenglobeaz\u0103 \u00een construirea unei lan\u021buri de apeluri de asemenea blocuri (\u201egadgets\u201d) pentru a ob\u021bine func\u021bionalitatea dorit\u0103.
<\/center> <\/p>\n
Pentru atac, este necesar accesul pentru a crea socket-uri CAN \u0219i un interfes\u0103 de re\u021bea vcan configurat\u0103. Autoriza\u021biile necesare pentru efectuarea atacului pot fi ob\u021binute de un utilizator f\u0103r\u0103 privilegii \u00een containere create \u00een sisteme cu suport activat pentru spa\u021bii de nume ale identificatorilor de utilizatori (user namespaces). De exemplu, user namespaces este activat implicit \u00een Ubuntu \u0219i Fedora, dar nu este activat \u00een Debian \u0219i RHEL. \n Sursa: opennet.ro<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"O](\"\/wp-content\/uploads\/2021\/06\/60534f0194a819c8401abf2ec53b3a9a.png\")
<\/center> <\/p>\n