\u00cen nucleul Linux a fost descoperit\u0103 a cincea (1, 2, 3) vulnerabilitate critic\u0103 \u00een ultimele dou\u0103 s\u0103pt\u0103m\u00e2ni, care permite utilizatorului s\u0103 \u00ee\u0219i creasc\u0103 privilegii \u00een sistem. Au fost publicate dou\u0103 exploituri func\u021bionale: sshkeysign_pwn permite unui utilizator f\u0103r\u0103 privilegii s\u0103 citeasc\u0103 con\u021binutul cheilor SSH protejate ale gazdelor \\\/etc\\\/\\ <\/p>\n
Informa\u021biile despre vulnerabilitate nu erau planificate pentru dezv\u0103luire, dar un cercet\u0103tor \u00een securitate, pe baza patch-ului propus pentru kernel, a reu\u0219it s\u0103 identifice natura vulnerabilit\u0103\u021bii, care permite citirea fi\u0219ierelor accesibile doar utilizatorului root, de exemplu, \/etc\/shadow. \u00cen modificarea ad\u0103ugat\u0103 \u00een kernel, a fost corectat\u0103 logica utiliz\u0103rii func\u021biei get_dumpable() \u00een ptrace la determinarea nivelului de acces \u00een func\u021bia ptrace_may_access(). <\/p>\n
Vulnerabilitatea este cauzat\u0103 de o condi\u021bie de competi\u021bie, care duce la posibilitatea accesului neprivilegiat la descriptorul de fi\u0219ier pidfd dup\u0103 accesarea fi\u0219ierului dintr-un proces suid root. \u00cen momentul dintre deschiderea fi\u0219ierului \u0219i resetarea privilegiilor \u00een programul suid (de exemplu, prin func\u021bia setreuid), apare o situa\u021bie \u00een care aplica\u021bia care a lansat programul suid root poate accesa fi\u0219ierul deschis \u00een programul suid prin descriptorul pidfd, chiar dac\u0103 drepturile de acces la fi\u0219ier nu permit acest lucru. <\/p>\n
Fereastra pentru exploatare apare deoarece func\u021bia \u00ab__ptrace_may_access()\u00bb ocole\u0219te verificarea posibilit\u0103\u021bii de acces la fi\u0219ier, dac\u0103 c\u00e2mpul task->mm este setat la NULL dup\u0103 execu\u021bia exit_mm(), dar \u00eenainte de apelul exit_files(). \u00cen acest moment, apelul sistemului pidfd_getfd consider\u0103 c\u0103 identificatorul utilizatorului (uid) procesului apelant corespunde identificatorului care are acces autorizat la fi\u0219ier. Este demn de men\u021bionat c\u0103 problema a fost semnalat\u0103 pentru prima dat\u0103 \u00een 2020, \u00eens\u0103 aceasta a r\u0103mas nerezolvat\u0103. <\/p>\n
\u00cen exploit-ul care ob\u021bine con\u021binutul \/etc\/shadow, atacul const\u0103 \u00een lansarea ciclic\u0103 prin fork+execl a aplica\u021biei \/usr\/bin\/chage cu flag-ul suid root, care cite\u0219te con\u021binutul \/etc\/shadow. Dup\u0103 ce procesul este bifurcat, se execut\u0103 apelul de sistem pidfd_open \u0219i se realizeaz\u0103 o itera\u021bie ciclic\u0103 a descriptorilor pidfd disponibili prin apelul de sistem pidfd_getfd \u0219i verificarea acestora prin \/proc\/self\/fd. \u00cen exploit-ul sshkeysign_pwn, manevre similare sunt realizate cu programul suid root ssh-keysign. <\/p>\n
CVE identificatorul problemei nu a fost \u00eenc\u0103 atribuit, actualiz\u0103rile pentru kernel \u0219i pachete \u00een distribu\u021bii nu au fost publicate. \u00cen kernel-urile lansate acum c\u00e2teva ore, 7.0.7, 6.18.30 \u0219i 6.12.88, vulnerabilitatea nu a fost remediat\u0103. La momentul redact\u0103rii acestei \u0219tiri, se poate folosi doar un patch. Se discut\u0103 despre posibile solu\u021bii pentru blocarea vulnerabilit\u0103\u021bii, cum ar fi setarea sysctl kernel.yama.ptrace_scope=3 sau eliminarea etichetei suid root de pe fi\u0219ierele executabile din sistem (cel pu\u021bin de la utilitarele ssh-keysign \u0219i chage, folosite \u00een exploate).