{"id":100548,"date":"2021-06-20T10:22:54","date_gmt":"2021-06-20T08:22:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm"},"modified":"2021-06-20T10:22:54","modified_gmt":"2021-06-20T08:22:55","slug":"uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-yadre-linux-zatragivayushhaya-setevoj-protokol-can-bcm","title":{"rendered":"S\u00e5rbarhet i Linux-k\u00e4rnan som p\u00e5verkar n\u00e4tverksprotokollet CAN BCM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I Linux-k\u00e4rnan har en s\u00e5rbarhet identifierats (CVE-2021-3609) som g\u00f6r att en lokal anv\u00e4ndare kan h\u00f6ja sina privilegier i systemet. Problemet orsakas av en kappl\u00f6pning i implementationen av CAN BCM-protokollet och yttrar sig i Linux-kernor fr\u00e5n 2.6.25 till 5.13-rc6. I distributioner \u00e4r problemet \u00e4nnu inte \u00e5tg\u00e4rdat (RHEL, Fedora, Debian, Ubuntu, SUSE, Arch). <\/p>\n
Forskaren som identifierade s\u00e5rbarheten lyckades skapa en exploat f\u00f6r att f\u00e5 root-r\u00e4ttigheter p\u00e5 system med Linux-k\u00e4rnor 5.4 och nyare, och det har visats m\u00f6jlighet till ett framg\u00e5ngsrikt angrepp i Ubuntu 20.04.02 LTS. Det \u00e4r inte uteslutet att exploaten kan omarbetas f\u00f6r att fungera med \u00e4ldre k\u00e4rnor (i k\u00e4rnan 5.4 har CAN BCM-koden (net\/can\/bcm.c) \u00f6verg\u00e5tt fr\u00e5n hrtimer_tasklet till HRTIMER_MODE_SOFT). <\/p>\n
CAN BCM-protokollet till\u00e5ter registrering av en egen meddelandehanterare f\u00f6r meddelanden som mottas via CAN-bussen (controller area network) och kopplar den till en viss n\u00e4tverksocket. N\u00e4r ett inkommande meddelande anl\u00e4nder anropas funktionen bcm_rx_handler(). En angripare kan utnyttja kappl\u00f6pningen och n\u00e5 en punkt d\u00e4r n\u00e4tverksocket st\u00e4ngs samtidigt som bcm_rx_handler() k\u00f6rs. N\u00e4r socketen st\u00e4ngs anropas funktionen bcm_release(), d\u00e4r minnet som tilldelats strukturerna bcm_op och bcm_sock frig\u00f6rs, medan de fortfarande anv\u00e4nds av den p\u00e5g\u00e5ende hanteraren bcm_rx_handler(). Detta skapar en situation som leder till referens till ett redan frigivet minnesblock (use-after-free). <\/p>\n
Angreppet involverar att \u00f6ppna tv\u00e5 CAN BCM-sockets och koppla dem till gr\u00e4nssnittet vcan. I den f\u00f6rsta socketen g\u00f6rs ett anrop till sendmsg() med flaggan RX_SETUP f\u00f6r att konfigurera hanteraren f\u00f6r inkommande CAN-meddelanden, och i den andra socketen g\u00f6rs ett anrop till sendmsg() f\u00f6r att skicka ett meddelande till den f\u00f6rsta socketen. N\u00e4r meddelandet anl\u00e4nder aktiveras anropet bcm_rx_handler(), och angriparen v\u00e4ljer r\u00e4tt \u00f6gonblick f\u00f6r att st\u00e4nga den f\u00f6rsta socketen, vilket leder till att bcm_release() k\u00f6rs och strukturerna bcm_op och bcm_sock frig\u00f6rs, trots att arbetet med bcm_rx_handler() fortfarande p\u00e5g\u00e5r. <\/p>\n
Genom manipulation av inneh\u00e5llet i bcm_sock kan angriparen \u00e5sidos\u00e4tta pekaren till funktionen sk->sk_data_ready(sk), omdirigera exekveringen och, med hj\u00e4lp av tekniker f\u00f6r \u00e5terv\u00e4ndande-programmering (ROP - Return-Oriented Programming), organisera en \u00f6verskrivning av parametern modprobe_path och lyckas f\u00e5 sin kod att k\u00f6ras med root-r\u00e4ttigheter. Vid anv\u00e4ndning av ROP-tekniken f\u00f6rs\u00f6ker angriparen inte placera sin kod i minnet, utan arbetar ist\u00e4llet med redan existerande bitar av maskininstruktioner i de inl\u00e4sta biblioteken, som slutar med en \u00e5terv\u00e4ndande instruktion (vanligtvis slutet av bibliotekets funktioner). Exploitens funktionalitet kan sammanfattas som att bygga en kedja av anrop till s\u00e5dana block (\"gadgets\") f\u00f6r att uppn\u00e5 \u00f6nskad funktionalitet.
<\/center> <\/p>\n
F\u00f6r attacken kr\u00e4vs \u00e5tkomst f\u00f6r att skapa CAN-sockets och en konfigurerad n\u00e4tverksgr\u00e4nssnitt vcan. N\u00f6dv\u00e4ndig \u00e5tkomstr\u00e4tt kan erh\u00e5llas av en icke privilegierad anv\u00e4ndare i containrar som skapas i system med aktiverad support f\u00f6r anv\u00e4ndarnamnrymd (user namespaces). Till exempel \u00e4r anv\u00e4ndarnamnrymd som standard aktiverat i Ubuntu och Fedora, men inte aktiverat i Debian och RHEL. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"S\u00e5rbarhet](\"\/wp-content\/uploads\/2021\/06\/60534f0194a819c8401abf2ec53b3a9a.png\")
<\/center> <\/p>\n