K\u00ebrkuesit e siguris\u00eb nga kompania Qualys zbuluan detaje mbi dy vulnerabilitete q\u00eb prekin thelbin Linux dhe menaxherin e sistemit systemd. Vulnerabiliteti n\u00eb thelb (CVE-2021-33909) i lejon nj\u00eb p\u00ebrdoruesi lokal t\u00eb arrij\u00eb ekzekutimin e kodit me t\u00eb drejtat e rr\u00ebnj\u00ebs p\u00ebrmes manipulimit t\u00eb katalog\u00ebve me nivele t\u00eb thelluara. <\/p>\n
Rreziku i vulnerabilitetit p\u00ebrkeq\u00ebsohet nga fakti se k\u00ebrkuesit arrit\u00ebn t\u00eb p\u00ebrgatisin eksploit\u00eb funksionale q\u00eb punojn\u00eb n\u00eb Ubuntu 20.04\/20.10\/21.04, Debian 11 dhe Fedora 34 n\u00eb konfigurimin e paracaktuar. \u00cbsht\u00eb e r\u00ebnd\u00ebsishme t\u00eb theksohet se distribuimet e tjera nuk jan\u00eb verifikuar, por teorikisht gjithashtu jan\u00eb t\u00eb ndjeshme ndaj k\u00ebsaj \u00e7\u00ebshtjeje dhe mund t\u00eb sulmohen. Kodi i plot\u00eb i eksploiteve pritet t\u00eb publikohet pas zgjidhjes s\u00eb problemit n\u00eb t\u00eb gjith\u00eb bot\u00ebn, p\u00ebr momentin \u00ebsht\u00eb n\u00eb dispozicion vet\u00ebm nj\u00eb prototip i kufizuar n\u00eb funksionalitet q\u00eb shkakton r\u00ebnien e sistemit. Problemi ka shfaqur ndodhi q\u00eb nga korriku 2014 dhe preku l\u00ebshimet e thelbave duke filluar nga 3.16. Rregullimi i vulnerabilitetit \u00ebsht\u00eb koordinuar me komunitetin dhe pranuar n\u00eb thelb m\u00eb 19 korrik. Distribuimet kryesore tashm\u00eb kan\u00eb formuar p\u00ebrdit\u00ebsime t\u00eb pakove me thelb (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Vulnerabiliteti shkaktohet nga mungesa e kontrollit t\u00eb rezultatit t\u00eb konvertimit nga size_t n\u00eb int para se t\u00eb kryhen operacionet n\u00eb kodin seq_file, i cili krijon skedar\u00eb nga nj\u00eb sekuenc\u00eb rekordesh. Mungesa e kontrollit mund t\u00eb \u00e7oj\u00eb n\u00eb shkruarjen n\u00eb nj\u00eb zon\u00eb jasht\u00eb kufijve t\u00eb menaxherit t\u00eb memories gjat\u00eb krijimit, montimit dhe fshirjes s\u00eb struktur\u00ebs s\u00eb katalog\u00ebve me nj\u00eb nivel shum\u00eb t\u00eb lart\u00eb t\u00eb thell\u00ebsis\u00eb (madh\u00ebsia e rrug\u00ebs m\u00eb shum\u00eb se 1 GB). Si rezultat, nj\u00eb sulmues mund t\u00eb arrij\u00eb t\u00eb shkruaj\u00eb nj\u00eb varg 10-bajt\u00ebsh \"\/\/deleted\" me nj\u00eb zhvendosje \"- 2 GB - 10 bytes\", q\u00eb tregon nj\u00eb zon\u00eb q\u00eb vjen menj\u00ebher\u00eb para tamponit t\u00eb alokuar. <\/p>\n
Eksploit i p\u00ebrgatitur k\u00ebrkon 5 GB memorie dhe 1 milion inode t\u00eb lir\u00eb p\u00ebr t\u00eb funksionuar. Puna e eksploitit p\u00ebrfshin krijimin p\u00ebrmes thirrjes mkdir() t\u00eb nj\u00eb hierarkie prej rreth nj\u00eb milion katalog\u00ebsh t\u00eb brendsh\u00ebm p\u00ebr t\u00eb arritur nj\u00eb madh\u00ebsi t\u00eb rrug\u00ebs s\u00eb skedave q\u00eb tejkalon 1 GB. Ky katalog montoheshe p\u00ebrmes bind-mount n\u00eb nj\u00eb hap\u00ebsir\u00eb t\u00eb ve\u00e7ant\u00eb identifikimesh t\u00eb p\u00ebrdoruesit (user namespace), pas s\u00eb cil\u00ebs aktivizohet funksioni rmdir() p\u00ebr ta fshir\u00eb at\u00eb. Paralelisht krijohet nj\u00eb rrjedh\u00eb, e cila ngarkon nj\u00eb program t\u00eb vog\u00ebl eBPF, e cila bllokohet n\u00eb faz\u00ebn pas verifikimit t\u00eb pseudokodit eBPF, por para JIT-kompilimit t\u00eb tij. <\/p>\n
N\u00eb nj\u00eb hap\u00ebsir\u00eb t\u00eb pa privilegjuar identifikuesish p\u00ebrdoruesish, hapet nj\u00eb skedar \/proc\/self\/mountinfo dhe fillon leximi i nj\u00eb rrug\u00eb t\u00eb gjat\u00eb katalogu, e montuar me bind-mount, q\u00eb \u00e7on n\u00eb shkruarjen e vargut \"\/\/deleted\" n\u00eb nj\u00eb zon\u00eb para fillimit t\u00eb tamponit. Pozita p\u00ebr shkruarjen e vargut zgjidhej n\u00eb nj\u00eb m\u00ebnyr\u00eb q\u00eb ta p\u00ebrshkruaj\u00eb nj\u00eb instruksion n\u00eb nj\u00eb program t\u00eb verifikuar, por jo ende t\u00eb kompiluar eBPF. <\/p>\n
Pastaj, n\u00eb nivelin e programit eBPF, shkruarja e pakontrolluar jasht\u00eb tamponit kthehet n\u00eb nj\u00eb mund\u00ebsi t\u00eb kontrolluar p\u00ebr t\u00eb lexuar dhe shkruar n\u00eb struktura t\u00eb tjera t\u00eb b\u00ebrtham\u00ebs p\u00ebrmes manipulimit t\u00eb strukturave btf dhe map_push_elem. Si rezultat, eksploiti p\u00ebrcakton vendndodhjen e tamponit modprobe_path[] n\u00eb memorien e b\u00ebrtham\u00ebs dhe e rishkruan at\u00eb me rrug\u00ebn \"\/sbin\/modprobe\", gj\u00eb q\u00eb lejon startimin e \u00e7do skedari ekzekutues me t\u00eb drejtat e root-it n\u00eb rastin e thirrjes request_module(), q\u00eb ekzekutohet, p\u00ebr shembull, gjat\u00eb krijimit t\u00eb nj\u00eb soketi netlink. <\/p>\n
Hulumtuesit ofrojn\u00eb disa metoda mbrojt\u00ebse q\u00eb jan\u00eb efektive vet\u00ebm p\u00ebr eksploite t\u00eb caktuara, por nuk eliminojn\u00eb problemin n\u00eb vetvete. Rekomandohet q\u00eb t\u00eb vendoset parametri \"\/proc\/sys\/kernel\/unprivileged_userns_clone\" n\u00eb vler\u00ebn 0 p\u00ebr t\u00eb ndaluar montimin e katalog\u00ebve n\u00eb nj\u00eb hap\u00ebsir\u00eb identifikuesish pa privilegje, si dhe \"\/proc\/sys\/kernel\/unprivileged_bpf_disabled\" n\u00eb 1 p\u00ebr t\u00eb ndaluar ngarkimin e programeve eBPF n\u00eb b\u00ebrtham\u00eb.