Raziskovalci varnosti podjetja Qualys so razkrili podrobnosti dveh ranljivosti, ki vplivata na jedro Linux in sistemski manager systemd. Ranljivost v jedru (CVE-2021-33909) omogo\u010da lokalnemu uporabniku, da dose\u017ee izvajanje kode s pravicami root preko manipulacij z globokimi imeniki. <\/p>\n
Tveganje ranljivosti se pove\u010duje, ker so raziskovalci uspeli pripraviti delujo\u010de eksploite, ki delujejo v Ubuntu 20.04\/20.10\/21.04, Debian 11 in Fedora 34 v privzeti konfiguraciji. Opozarja se, da druge distribucije niso bile testirane, lahko pa so teoreti\u010dno prav tako ranljive in jih lahko napadejo. Popoln kodo eksploitov obljubljajo objaviti po celovitem odpravljanju problema, trenutno pa je na voljo le omejena razli\u010dica prototipa, ki povzro\u010da zru\u0161itev sistema. Problem se pojavlja od julija 2014 in vpliva na razli\u010dice jedra, ki se za\u010dnejo z 3.16. Odprava ranljivosti je bila usklajena z skupnostjo in sprejeta v jedro 19. julija. Glavne distribucije so \u017ee pripravile posodobitve paketov z jedrom (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Ranljivost je posledica pomanjkanja preverjanja rezultata pretvorbe size_t v int pred izvajanjem operacij v kodi seq_file, ki ustvarja datoteke iz zaporedja zapisov. Pomanjkanje preverjanja lahko privede do pisanja zunaj meja predpomnilnika pri ustvarjanju, montiranju in brisanju strukture imenikov z zelo globoko nivojsko strukturo (dol\u017eina poti ve\u010d kot 1 GB). Tako lahko napadalec dose\u017ee zapis 10-bajtnega niza \u201e\/\/deleted\u201c z offsetom \u201e- 2 GB \u2014 10 bajtov\u201c, ki ka\u017ee na podro\u010dje tik pred dodeljenim predpomnilnikom. <\/p>\n
Pripravljen eksploit zahteva za delovanje 5 GB pomnilnika in 1 milijon prostih inode-ov. Delo eksploita je osredoto\u010deno na ustvarjanje hierarhije pribli\u017eno milijon globokih imenikov preko klica mkdir(), kar dose\u017ee velikost datote\u010dne poti, ki presega 1 GB. Ta imenik se montira preko bind-mount v lo\u010denem prostoru identifikatorjev uporabnikov (user namespace), nato pa se spro\u017ei funkcija rmdir() za njegovo brisanje. Hkrati se ustvari nit, ki nalo\u017ei majhno eBPF-program, ki se blokira v fazi po preverjanju psevdokode eBPF, vendar pred njegovo JIT-kompilacijo. <\/p>\n
V nepriviligiranem prostoru imenikov identifikatorjev uporabnikov se odpre datoteka \/proc\/self\/mountinfo in za\u010dne branje dolge poti imenika, ki je bil montiran z bind-mount, kar privede do zapisa niza \u201e\/\/deleted\u201c v obmo\u010dje pred za\u010detkom predpomnilnika. Pozicija za zapis niza je izbrana tako, da prepi\u0161e navodilo v \u017ee preverjenem, a \u0161e ne sestavljenem programu eBPF. <\/p>\n
Nato se na ravni programa eBPF nekontrolirano pisanje zunaj predpomnilnika transformira v obvladljivo sposobnost branja in pisanja v druge jedrne strukture s manipulacijo struktur btf in map_push_elem. Kot rezultat, exploita dolo\u010di lokacijo predpomnilnika modprobe_path[] v jedrskem pomnilniku in prepi\u0161e pot \u201e\/sbin\/modprobe\u201c, kar omogo\u010da zagon katerega koli izvr\u0161ljivega datoteka s pravicami root, ko se izvede klic request_module(), ki se izvaja, na primer, pri ustvarjanju netlink vti\u010dnika. <\/p>\n
Raziskovalci navajajo ve\u010d obvodnih na\u010dinov za\u0161\u010dite, ki so u\u010dinkoviti le za dolo\u010den exploit, vendar ne odpravljajo same te\u017eave. Priporo\u010damo nastavitev parametra \u201e\/proc\/sys\/kernel\/unprivileged_userns_clone\u201c na 0, da se prepre\u010di monta\u017ea imenikov v lo\u010denem prostoru identifikatorjev uporabnikov, ter \u201e\/proc\/sys\/kernel\/unprivileged_bpf_disabled\u201c na 1, da se prepre\u010di nalaganje programov eBPF v jedro.