Sårbarhet i VFS-kärnan i Linux som tillåter privilegihöjning

I API Filesystem Context, som tillhandahålls av Linux-kärnan, har en sårbarhet upptäckts (CVE-2022-0185) som gör det möjligt för en lokal användare att få root-rättigheter i systemet. Forskaren som upptäckte problemet publicerade en demonstration av en exploit som kan exekvera kod med root-rättigheter i Ubuntu 20.04 i standardkonfiguration. Koden för exploit planeras att publiceras på GitHub inom en vecka, efter att distributionerna har släppt en uppdatering som åtgärdar sårbarheten.

Sårbarheten finns i funktionen legacy_parse_param() i VFS och orsakas av bristen på korrekt kontroll av den maximala storleken för parametrar som tillhandahålls i filsystem som inte stöder API Filesystem Context. Vid överföring av en för stor parameter kan överflöde av en heltalsvariabel som används för att beräkna storleken på de skrivna data utlösas — i koden finns en granskning för överträdelser av bufferten "if (len > PAGE_SIZE - 2 - size)", som inte fungerar om värdet för size är större än 4094 på grund av heltalsöverflöde via den nedre gränsen (integer underflow, när 4096 - 2 - 4095 konverteras till unsigned int får vi 2147483648).

Den angivna felet gör att en buffertöverskridning kan inträffa när en speciellt utformad FS-avbildning anropas och därmed skriva över källdata som följer efter det allokerade minnesområdet. För att utnyttja sårbarheten krävs rättigheterna CAP_SYS_ADMIN, dvs. administratörsbehörighet. Problemet är att en sådan behörighet kan erhållas av en icke-privilegerad användare i en isolerad container om stödet för användarnamnsrymder (user namespaces) är aktiverat i systemet. Till exempel är användarnamnsrymder som standard aktiverade i Ubuntu och Fedora, men inte aktiverade i Debian och RHEL (om inte containerisolationsplattformar används).

Problemet manifesterar sig från och med Linux-kärna 5.1 och har åtgärdats i gårdagens uppdateringar 5.16.2, 5.15.16, 5.10.93, 5.4.173. Uppdateringar av paketen som åtgärdar sårbarheten har redan släppts för RHEL, Debian, Fedora, Ubuntu. Fixen är ännu inte tillgänglig för Arch Linux, Gentoo, SUSE och openSUSE. Som en tillfällig skyddsåtgärd för system som inte använder containerisolering kan värdet sysctl "user.max_user_namespaces" ställas in på 0: echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf # sysctl -p /etc/sysctl.d/userns.conf

Källa: opennet.ru