V jadre Linux sa za posledn\u00e9 dva t\u00fd\u017edne objavila piata kritick\u00e1 zranite\u013enos\u0165, ktor\u00e1 umo\u017e\u0148uje pou\u017e\u00edvate\u013eovi zv\u00fd\u0161i\u0165 svoje opr\u00e1vnenia v syst\u00e9me. Publikovan\u00e9 boli dva funk\u010dn\u00e9 exploitov\u00e9 n\u00e1stroje: sshkeysign_pwn umo\u017e\u0148uje nepriviligovan\u00e9mu pou\u017e\u00edvate\u013eovi pre\u010d\u00edta\u0165 obsah uzamknut\u00fdch hostite\u013esk\u00fdch SSH k\u013e\u00fa\u010dov \/etc\/ssh\/ssh_host_*_key, a chage_pwn \u2014 pre\u010d\u00edta\u0165 obsah s\u00faboru \/etc\/shadow s hashmi pou\u017e\u00edvate\u013esk\u00fdch hesiel. <\/p>\n
Inform\u00e1cie o zranite\u013enosti neboli pl\u00e1novan\u00e9 na zverejnenie, no jeden z bezpe\u010dnostn\u00fdch v\u00fdskumn\u00edkov na z\u00e1klade navrhnut\u00e9ho patchu pre jadro dok\u00e1zal identifikova\u0165 podstatu zranite\u013enosti, ktor\u00e1 umo\u017e\u0148uje pre\u010d\u00edta\u0165 s\u00fabory dostupn\u00e9 iba pou\u017e\u00edvate\u013eovi root, napr\u00edklad \/etc\/shadow. V pridan\u00ed do jadra sa upravila logika pou\u017e\u00edvania funkcie get_dumpable() v ptrace pri ur\u010dovan\u00ed \u00farovne pr\u00edstupu vo funkcii ptrace_may_access(). <\/p>\n
Samotn\u00e1 zranite\u013enos\u0165 je sp\u00f4soben\u00e1 stavom pretekaj\u00facej podmienky, \u010do vedie k mo\u017enosti neprivil\u00e9govan\u00e9ho pr\u00edstupu k s\u00faborov\u00e9mu deskriptoru pidfd po pr\u00edstupe k s\u00faboru z suid root procesu. V momente medzi otvoren\u00edm s\u00faboru a zru\u0161en\u00edm privil\u00e9gi\u00ed v suid programe (napr\u00edklad prostredn\u00edctvom funkcie setreuid) vznik\u00e1 situ\u00e1cia, ke\u010f aplik\u00e1cia, ktor\u00e1 spustila suid root program, m\u00f4\u017ee prostredn\u00edctvom deskriptoru pidfd pristupova\u0165 k otvoren\u00e9mu s\u00faboru v suid programe, aj ke\u010f to pr\u00e1va na s\u00fabor neumo\u017e\u0148uj\u00fa. <\/p>\n
Okno na vyu\u017eitie vznik\u00e1 preto, \u017ee funkcia \"__ptrace_may_access()\" presko\u010d\u00ed kontrolu mo\u017enosti pr\u00edstupu k s\u00faboru, ak je pole task->mm nastaven\u00e9 na hodnotu NULL po vykonan\u00ed exit_mm(), ale pred volan\u00edm exit_files(). V s\u00fa\u010dasnosti syst\u00e9mov\u00fd volanie pidfd_getfd predpoklad\u00e1, \u017ee identifik\u00e1tor pou\u017e\u00edvate\u013ea (uid) volaj\u00faceho procesu zodpoved\u00e1 identifik\u00e1toru, ktor\u00e9mu je povolen\u00fd pr\u00edstup k s\u00faboru. Zauj\u00edmav\u00e9 je, \u017ee na probl\u00e9m upozornili u\u017e v roku 2020, ale zostal neopraven\u00fd. <\/p>\n
V exploite, ktor\u00fd z\u00edskava obsah \/etc\/shadow, \u00fatok spo\u010d\u00edva v cyklickom sp\u00fa\u0161\u0165an\u00ed pomocou fork+execl aplik\u00e1cie \/usr\/bin\/chage s flagom suid root, ktor\u00e1 \u010d\u00edta obsah \/etc\/shadow. Po tom, \u010do sa proces oddelil, sa vykon\u00e1va syst\u00e9mov\u00fd hovor pidfd_open a uskuto\u010d\u0148uje sa cyklick\u00e9 preh\u013ead\u00e1vanie dostupn\u00fdch pidfd deskriptorov prostredn\u00edctvom syst\u00e9mov\u00e9ho hovoru pidfd_getfd a ich kontrola cez \/proc\/self\/fd. V exploite sshkeysign_pwn sa podobn\u00e9 manipul\u00e1cie vykon\u00e1vaj\u00fa s suid root programom ssh-keysign. <\/p>\n
CVE identifik\u00e1tor probl\u00e9mu zatia\u013e nebol priraden\u00fd, aktualiz\u00e1cie jadra a bal\u00edkov v distrib\u00faci\u00e1ch neboli publikovan\u00e9. V jadrach 7.0.7, 6.18.30 a 6.12.88 vydan\u00fdch pred nieko\u013ek\u00fdmi hodinami zranite\u013enos\u0165 nebola odstr\u00e1nen\u00e1. K v \u010dase p\u00edsania spr\u00e1vy je mo\u017en\u00e9 pou\u017ei\u0165 iba opravu. Diskutuj\u00fa sa mo\u017en\u00e9 obch\u00e1dzacie cesty na blokovanie zranite\u013enosti, ako je nastavenie sysctl kernel.yama.ptrace_scope=3 alebo odstr\u00e1nenie suid root vlajky z vykonate\u013en\u00fdch s\u00faborov v syst\u00e9me (aspo\u0148 z util\u00edt ssh-keysign a chage, ktor\u00e9 sa pou\u017e\u00edvaj\u00fa v exploit\u00e1ch).