Sårbarhet i OverlayFS som möjliggör privilegiehöjning

I kärnan i Linux, i implementationen av filsystemet OverlayFS, har en sårbarhet identifierats (CVE-2023-0386) som kan användas för att få root-åtkomst på system där FUSE-subsystemet är installerat och där icke-privilegierade användare får montera OverlayFS-partitioner (från och med kärnan Linux 5.11 med aktivering av icke-privilegierade användarnamnrymder). Problemet har åtgärdats i kärnversion 6.2. Publiceringen av paketuppdateringar i distributioner kan följas på sidorna: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

Attacken genomförs genom att kopiera filer med setgid/setuid-flaggor från en partition som är monterad med nosuid-läge, till en OverlayFS-partition som har ett lager kopplat till en partition som tillåter körning av suid-filer. Sårbarheten liknar problemet CVE-2021-3847, som upptäcktes 2021, men har lägre krav för utnyttjande – det gamla problemet krävde manipulation av xattrs, vilket är begränsat vid användning av användarnamnrymder, medan det nya problemet använder setgid/setuid-bitar som inte behandlas speciellt i användarnamnrymden.

Angreppets algoritm:

• Genom FUSE-subsystemet monteras ett filsystem där det finns en körbar fil som tillhör root-användaren med setuid/setgid-flaggor och som är skrivbar för alla användare. Vid montering sätter FUSE läget 'nosuid'.
• Användarnamnrymder och monteringspunkter avbryts (unshare).
• OverlayFS monteras med den tidigare skapade FUSE-filsystemet som det nedre lagret och ett skrivbart överlager baserat på en katalog. Katalogen för det övre lagret måste placeras i ett filsystem där flaggan 'nosuid' inte används vid montering.
• För suid-filen i FUSE-partitionen ändrar verktyget touch tidpunkten för modifiering, vilket leder till att den kopieras till det övre lagret av OverlayFS.
• Vid kopieringen tar kärnan inte bort setgid/setuid-flaggorna, vilket leder till att filen visar sig i en partition som tillåter hantering av setgid/setuid.
• För att få root-rättigheter räcker det med att köra filen med setgid/setuid-flaggor från katalogen ansluten till det övre lagret av OverlayFS.

Det kan också noteras att forskare från Google Project Zero har avslöjat information om tre sårbarheter som åtgärdades i huvudversionen av Linux-kärnan 5.15, men som inte har överförts till paketen med kärnan från RHEL 8.x/9.x och CentOS Stream 9.

• CVE-2023-1252 – ett försök att komma åt ett redan frigivet minnesområde i strukturen ovl_aio_req vid samtidig utförande av flera operationer i OverlayFS, installerad ovanpå Ext4-filsystemet. Denna sårbarhet kan potentiellt användas för att öka sina privilegier i systemet.
• CVE-2023-0590 – ett försök att komma åt ett redan frigivet minnesområde i funktionen qdisc_graft(). Antas att utnyttjandet begränsas till oväntad krasch.
• CVE-2023-1249 – ett försök att komma åt ett redan frigivet minnesområde i koden för coredump, som uppstår på grund av en bortglömd mmap_lock-anrop i file_files_note. Antas att utnyttjandet begränsas till oväntad krasch.

Källa: opennet.ru