Studiuesit e siguris\u00eb nga kompania Qualys kan\u00eb zbuluar detaje p\u00ebr dy cenueshm\u00ebri q\u00eb prekin kernelin Linux dhe menaxherin e sistemit systemd. Cenueshm\u00ebria n\u00eb kernel (CVE-2021-33909) i lejon nj\u00eb p\u00ebrdoruesi lokal t\u00eb arrij\u00eb ekzekutimin e kodit me privilegje root p\u00ebrmes manipulimeve me direktor\u00eb me nivel t\u00eb madh thell\u00ebsie. <\/p>\n
Rreziku i cenueshm\u00ebris\u00eb r\u00ebndohet edhe m\u00eb shum\u00eb nga fakti se studiuesit arrit\u00ebn t\u00eb p\u00ebrgatisin exploite funksionale q\u00eb punojn\u00eb n\u00eb Ubuntu 20.04\/20.10\/21.04, Debian 11 dhe Fedora 34 me konfigurimin e parazgjedhur. Theksohet se shp\u00ebrndarjet e tjera nuk jan\u00eb testuar, por teorikisht gjithashtu preken nga problemi dhe mund t\u00eb sulmohen. Kodi i plot\u00eb i exploiteve premtohet t\u00eb publikohet pasi problemi t\u00eb jet\u00eb zgjidhur gjer\u00ebsisht, nd\u00ebrsa p\u00ebr momentin \u00ebsht\u00eb i disponuesh\u00ebm vet\u00ebm nj\u00eb prototip me funksionalitet t\u00eb kufizuar, i cili shkakton rr\u00ebzimin e sistemit. Problemi shfaqet q\u00eb nga korriku i vitit 2014 dhe prek versionet e kernelit duke filluar nga 3.16. Korrigjimi i cenueshm\u00ebris\u00eb u koordinua me komunitetin dhe u pranua n\u00eb p\u00ebrb\u00ebrjen e kernelit m\u00eb 19 korrik. Shp\u00ebrndarjet kryesore tashm\u00eb kan\u00eb p\u00ebrgatitur p\u00ebrdit\u00ebsime t\u00eb paketave me kernelin (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
Vulnerabiliteti shkaktohet nga mungesa e verifikimit t\u00eb rezultatit t\u00eb konvertimit nga type size_t n\u00eb int p\u00ebrpara se t\u00eb kryhen operacione n\u00eb kodin seq_file, i cili realizon krijimin e skedave nga nj\u00eb sekuenc\u00eb regjistrash. Mungesa e verifikimit mund t\u00eb \u00e7oj\u00eb n\u00eb nj\u00eb shkruarje n\u00eb zon\u00ebn jasht\u00eb kufijve t\u00eb tamponit gjat\u00eb krijimit, montimit dhe fshirjes s\u00eb strukturave t\u00eb katalog\u00ebve me nj\u00eb nivel shum\u00eb t\u00eb lart\u00eb thell\u00ebsie (madh\u00ebsia e rrug\u00ebs m\u00eb shum\u00eb se 1 GB). Si rezultat, nj\u00eb sulmues mund t\u00eb arrij\u00eb t\u00eb shkruaj\u00eb nj\u00eb varg 10-byte \"\/\/deleted\" me offset \"- 2 GB \u2014 10 bytes\", i cili tregon nj\u00eb zon\u00eb q\u00eb paraprin drejtp\u00ebrdrejt tamponin e alokuar. <\/p>\n
Exploit-i i p\u00ebrgatitur k\u00ebrkon 5 GB memorie dhe 1 milion inode t\u00eb lira p\u00ebr t\u00eb funksionuar. Funksionimi i exploit-it konsiston n\u00eb krijimin, p\u00ebrmes thirrjes mkdir(), t\u00eb nj\u00eb hierarkie me rreth nj\u00eb milion direktor\u00eb t\u00eb futur nj\u00ebri brenda tjetrit p\u00ebr t\u00eb arritur nj\u00eb madh\u00ebsi t\u00eb rrug\u00ebs s\u00eb skedarit q\u00eb tejkalon 1 GB. Ky direktor montohet p\u00ebrmes bind-mount n\u00eb nj\u00eb hap\u00ebsir\u00eb t\u00eb ve\u00e7ant\u00eb emrash t\u00eb identifikuesve t\u00eb p\u00ebrdoruesve (user namespace), pas s\u00eb cil\u00ebs niset funksioni rmdir() p\u00ebr fshirjen e tij. Paralelisht krijohet nj\u00eb thread q\u00eb ngarkon nj\u00eb program t\u00eb vog\u00ebl eBPF, i cili bllokohet n\u00eb faz\u00ebn pas verifikimit t\u00eb pseudokodit eBPF, por p\u00ebrpara JIT-kompilimit t\u00eb tij. <\/p>\n
N\u00eb hap\u00ebsir\u00ebn e emrave t\u00eb identifikuesve t\u00eb p\u00ebrdoruesve pa privilegje, hapet skeda \/proc\/self\/mountinfo dhe fillon t\u00eb lexoj\u00eb nj\u00eb rrug\u00eb t\u00eb gjat\u00eb t\u00eb katalogut t\u00eb montuar me ndihm\u00eb t\u00eb bind-mount, e cila \u00e7on n\u00eb shkruarjen e vargut \"\/\/deleted\" n\u00eb nj\u00eb zon\u00eb para fillimit t\u00eb tamponit. Pozita p\u00ebr shkruarjen e vargut zgjidhet n\u00eb nj\u00eb m\u00ebnyr\u00eb q\u00eb mbi-shkruan nj\u00eb instrukcion n\u00eb nj\u00eb program q\u00eb \u00ebsht\u00eb kontrolluar tashm\u00eb, por ende nuk \u00ebsht\u00eb kompiliuar, eBPF. <\/p>\n
M\u00eb pas, n\u00eb nivelin e programit eBPF, shkruarja e pakontrolluar jasht\u00eb tamponit transformohet n\u00eb nj\u00eb mund\u00ebsi t\u00eb kontrolluar p\u00ebr t\u00eb lexuar dhe shkruar n\u00eb struktura t\u00eb tjera t\u00eb kernelit p\u00ebrmes manipulimit me strukturat btf dhe map_push_elem. Si rezultat, exploit p\u00ebrcakton vendndodhjen e tamponit modprobe_path[] n\u00eb memorien e kernelit dhe mbi-shkruan aty rrug\u00ebn \"\\\/sbin\\\/modprobe\", e cila lejon iniciimin e ekzekutimit t\u00eb \u00e7do skedari ekzekutiv me t\u00eb drejta root n\u00eb rastin e ekzekutimit t\u00eb thirrjes request_module(), e cila ekzekutohet, p\u00ebr shembull, gjat\u00eb krijimit t\u00eb nj\u00eb soketi netlink. <\/p>\n
K\u00ebrkuesit paraqesin disa metoda p\u00ebr ndihm\u00eb p\u00ebr mbrojtje, t\u00eb cilat jan\u00eb efektive vet\u00ebm p\u00ebr nj\u00eb exploit t\u00eb caktuar, por nuk e eliminon problemin vet\u00eb. Rekomandohet q\u00eb t\u00eb vendoset parametrin \"\/proc\/sys\/kernel\/unprivileged_userns_clone\" n\u00eb vler\u00ebn 0 p\u00ebr t\u00eb ndaluar montimin e katalog\u00ebve n\u00eb nj\u00eb hap\u00ebsir\u00eb identifikuesish t\u00eb p\u00ebrdoruesve, si dhe \"\/proc\/sys\/kernel\/unprivileged_bpf_disabled\" n\u00eb 1 p\u00ebr t\u00eb ndaluar ngarkimin e programeve eBPF n\u00eb kernel.