Bezpe\u010dnostn\u00ed v\u00fdzkumn\u00edci z firmy Qualys odhalili detaily dvou zranitelnost\u00ed zasahuj\u00edc\u00edch do j\u00e1dra Linux a syst\u00e9mov\u00e9ho spr\u00e1vce systemd. Zranitelnost v j\u00e1d\u0159e (CVE-2021-33909) umo\u017e\u0148uje lok\u00e1ln\u00edmu u\u017eivateli dos\u00e1hnout proveden\u00ed k\u00f3du s pr\u00e1vem root pomoc\u00ed manipulac\u00ed s adres\u00e1\u0159i s velkou hloubkou. <\/p>\n
Nebezpe\u010d\u00ed zranitelnosti je umocn\u011bno t\u00edm, \u017ee v\u00fdzkumn\u00edk\u016fm se poda\u0159ilo p\u0159ipravit funk\u010dn\u00ed exploit, kter\u00fd funguje na Ubuntu 20.04\/20.10\/21.04, Debian 11 a Fedora 34 ve v\u00fdchoz\u00ed konfiguraci. Je poznamen\u00e1no, \u017ee jin\u00e9 distribuce nebyly testov\u00e1ny, ale teoreticky jsou tak\u00e9 n\u00e1chyln\u00e9 k probl\u00e9m\u016fm a mohou b\u00fdt napadeny. Kompletn\u00ed k\u00f3d exploit\u016f m\u00e1 b\u00fdt zve\u0159ejn\u011bn po celoplo\u0161n\u00e9m odstran\u011bn\u00ed probl\u00e9mu, zat\u00edm je k dispozici pouze omezen\u00fd prototyp, kter\u00fd zp\u016fsobuje p\u00e1d syst\u00e9mu. Probl\u00e9m se projevuje od \u010dervence 2014 a zasahuje vyd\u00e1n\u00ed j\u00e1dra po\u010d\u00ednaje verz\u00ed 3.16. Oprava zranitelnosti byla koordinov\u00e1na se komunitou a byla za\u0159azena do j\u00e1dra 19. \u010dervence. Hlavn\u00ed distribuce ji\u017e p\u0159ipravily aktualizace bal\u00ed\u010dk\u016f s j\u00e1drem (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Zranite\u013enos\u0165 je sp\u00f4soben\u00e1 absenciou kontroly v\u00fdsledku konverzie typu size_t na int pred vykonan\u00edm oper\u00e1ci\u00ed v k\u00f3de seq_file, ktor\u00fd vytv\u00e1ra s\u00fabory zo sekvencie z\u00e1znamov. Nedostatok kontroly m\u00f4\u017ee vies\u0165 k z\u00e1pisu do oblasti mimo hranice vyrovn\u00e1vacej pam\u00e4te pri vytv\u00e1ran\u00ed, pripojen\u00ed a odstra\u0148ovan\u00ed \u0161trukt\u00fary adres\u00e1rov s ve\u013emi vysokou h\u013abkou (ve\u013ekos\u0165 cesty viac ako 1 GB). Nakoniec m\u00f4\u017ee \u00fato\u010dn\u00edk dosiahnu\u0165 z\u00e1pis 10-bajtov\u00e9ho re\u0165azca \u201e\/\/deleted\u201c s posunom \u201e- 2 GB - 10 bajtov\u201c, ktor\u00fd ukazuje na oblas\u0165 tesne pred pridelenou vyrovn\u00e1vacou pam\u00e4\u0165ou. <\/p>\n
P\u0159ipraven\u00fd exploit vy\u017eaduje k provozu 5 GB pam\u011bti a 1 milion voln\u00fdch inode. Fungov\u00e1n\u00ed exploit\u016f spo\u010d\u00edv\u00e1 ve vytvo\u0159en\u00ed prost\u0159ednictv\u00edm vol\u00e1n\u00ed mkdir() hierarchie z p\u0159ibli\u017en\u011b milionu vno\u0159en\u00fdch adres\u00e1\u0159\u016f, aby se dos\u00e1hlo velikosti souborov\u00e9 cesty p\u0159esahuj\u00edc\u00ed 1 GB. Tento adres\u00e1\u0159 je namontov\u00e1n prost\u0159ednictv\u00edm bind-mount v odd\u011blen\u00e9m prostoru jmen identifik\u00e1tor\u016f u\u017eivatel\u016f (user namespace), po \u010dem\u017e je spu\u0161t\u011bna funkce rmdir() pro jeho odstran\u011bn\u00ed. Paraleln\u011b je vytv\u00e1\u0159en vl\u00e1kno, kter\u00e9 na\u010d\u00edt\u00e1 mal\u00fd program eBPF, kter\u00fd je blokov\u00e1n ve f\u00e1zi po kontrole pseudok\u00f3du eBPF, ale p\u0159ed jeho JIT-kompilac\u00ed. <\/p>\n
V nepovolenom priestore n\u00e1zvov identifik\u00e1torov pou\u017e\u00edvate\u013eov sa otvor\u00ed s\u00fabor \/proc\/self\/mountinfo a za\u010dne sa \u010d\u00edtanie dlh\u00e9ho cesty adres\u00e1ra, ktor\u00fd bol pripojen\u00fd pomocou bind-mount, \u010do vedie k z\u00e1pisu re\u0165azca \u201e\/\/deleted\u201c do oblasti pred za\u010diatkom vyrovn\u00e1vacej pam\u00e4te. Poz\u00edcia pre z\u00e1pis re\u0165azca sa vyber\u00e1 tak, \u017ee prepisuje in\u0161trukciu u\u017e skontrolovanej, ale e\u0161te nekompilovanej programu eBPF. <\/p>\n
\u010ealej na \u00farovni programu eBPF sa nekontrolovan\u00fd z\u00e1pis mimo vyrovn\u00e1vacej pam\u00e4te transformuje na riaden\u00fa mo\u017enos\u0165 \u010d\u00edtania a z\u00e1pisu do in\u00fdch \u0161trukt\u00far jadra prostredn\u00edctvom manipul\u00e1cie so \u0161trukt\u00farami btf a map_push_elem. Nakoniec exploit ur\u010duje umiestnenie vyrovn\u00e1vacej pam\u00e4te modprobe_path[] v pam\u00e4ti jadra a prep\u00ed\u0161e v nej cestu \u201e\/sbin\/modprobe\u201c, \u010do umo\u017e\u0148uje iniciova\u0165 spustenie ak\u00e9hoko\u013evek spustite\u013en\u00e9ho s\u00faboru s pr\u00e1vami root v pr\u00edpade vykonania volania request_module(), ktor\u00e9 sa vykon\u00e1va, napr\u00edklad pri vytv\u00e1ran\u00ed socketu netlink. <\/p>\n
V\u00fdskumn\u00edci uv\u00e1dzaj\u00fa nieko\u013eko obch\u00e1dzac\u00edch met\u00f3d ochrany, ktor\u00e9 s\u00fa \u00fa\u010dinn\u00e9 iba pre konkr\u00e9tny exploit, ale neodstra\u0148uj\u00fa samotn\u00fd probl\u00e9m. Odpor\u00fa\u010da sa nastavi\u0165 parameter \u201e\/proc\/sys\/kernel\/unprivileged_userns_clone\u201c na hodnotu 0 na zablokovanie pripojenia adres\u00e1rov v samostatnom priestore n\u00e1zvov identifik\u00e1torov pou\u017e\u00edvate\u013eov a tie\u017e \u201e\/proc\/sys\/kernel\/unprivileged_bpf_disabled\u201c na 1 na zablokovanie na\u010d\u00edtania programov eBPF do jadra.