S\u00e4kerhetsforskare fr\u00e5n Qualys har avsl\u00f6jat detaljer kring tv\u00e5 s\u00e5rbarheter som p\u00e5verkar Linux-k\u00e4rnan och systemhanteraren systemd. S\u00e5rbarheten i k\u00e4rnan (CVE-2021-33909) till\u00e5ter en lokal anv\u00e4ndare att utf\u00f6ra kod med root-r\u00e4ttigheter genom manipulering av kataloger med djup n\u00e4stling. <\/p>\n
Faran med s\u00e5rbarheten f\u00f6rv\u00e4rras av att forskarna har lyckats ta fram fungerande exploits som fungerar i Ubuntu 20.04\/20.10\/21.04, Debian 11 och Fedora 34 i standardkonfiguration. Andra distributioner har inte testats, men teoretiskt sett \u00e4r de ocks\u00e5 utsatta f\u00f6r problemet och kan attackeras. Den fullst\u00e4ndiga koden f\u00f6r exploits lovas att publiceras efter att problemet har \u00e5tg\u00e4rdats \u00f6verallt, och just nu \u00e4r endast en begr\u00e4nsad prototyp tillg\u00e4nglig, vilken orsakar systemkrasch. Problemet har funnits sedan juli 2014 och p\u00e5verkar k\u00e4rnutg\u00e5vor fr\u00e5n och med 3.16. \u00c5tg\u00e4rden f\u00f6r s\u00e5rbarheten koordinerades med gemenskapen och antogs som del av k\u00e4rnan den 19 juli. St\u00f6rre distributioner har redan skapat paketuppdateringar med k\u00e4rnan (Debian, Ubuntu, Fedora, RHEL, SUSE, Arch). <\/p>\n
S\u00e5rbarheten orsakas av bristen p\u00e5 kontroll av resultatet av typkonverteringen fr\u00e5n size_t till int innan operationer utf\u00f6rs i seq_file-koden, som skapar filer fr\u00e5n en sekvens av poster. Avsaknaden av kontroll kan leda till att det skrivs utanf\u00f6r buffertens gr\u00e4nser vid skapande, montering och borttagning av katalogstrukturer med mycket h\u00f6g niv\u00e5 av inb\u00e4ddning (s\u00f6kv\u00e4gens storlek \u00f6ver 1 GB). Som ett resultat kan en angripare \u00e5stadkomma att 10-byte str\u00e4ngen \"\/\/deleted\" skrivs ut med en offset \"- 2 GB \u2014 10 byte\", vilket anger en position direkt f\u00f6re den allokerade bufferten. <\/p>\n
Den f\u00f6rberedda exploit kr\u00e4ver 5 GB minne och 1 miljon lediga inode. Exploiten arbetar med att skapa en hierarki av cirka en miljon n\u00e4stlade kataloger via anropet mkdir() f\u00f6r att uppn\u00e5 en filv\u00e4gsstorlek som \u00f6verstiger 1 GB. Denna katalog monteras via bind-mount i ett separat anv\u00e4ndarnamnsspace, varefter funktionen rmdir() k\u00f6rs f\u00f6r att ta bort den. Samtidigt skapas en tr\u00e5d som laddar en liten eBPF-program som blockeras efter kontroll av pseudokoden f\u00f6r eBPF, men f\u00f6re dess JIT-kompilering. <\/p>\n
I ett icke-privilegerat utrymme f\u00f6r anv\u00e4ndaridentiteter \u00f6ppnas filen \/proc\/self\/mountinfo och l\u00e4sning av den l\u00e5nga s\u00f6kv\u00e4gen till en katalog som har monterats med bind-mount p\u00e5b\u00f6rjas, vilket leder till att str\u00e4ngen \"\/\/deleted\" skrivs till omr\u00e5det f\u00f6re buffertens b\u00f6rjan. Positionen f\u00f6r att skriva str\u00e4ngen v\u00e4ljs s\u00e5 att den \u00e5sidos\u00e4tter en instruktion i ett redan verifierat, men \u00e4nnu inte kompilerat eBPF-program. <\/p>\n
Vidare i eBPF-programmet transformeras den okontrollerade skrivningen utanf\u00f6r bufferten till en kontrollerad m\u00f6jlighet till l\u00e4sning och skrivning i andra k\u00e4rnstrukturer genom manipulation av btf- och map_push_elem-strukturer. Som ett resultat identifierar exploiten buffer-modprobe_path[] i k\u00e4rnans minne och \u00e5sidos\u00e4tter dess v\u00e4rde till \"\\\/sbin\\\/modprobe\", vilket m\u00f6jligg\u00f6r k\u00f6rningen av vilken k\u00f6rbar fil som helst med root-r\u00e4ttigheter vid anropet request_module(), som utf\u00f6rs vid skapandet av en netlink-socket till exempel. <\/p>\n
Forskare ger flera kringg\u00e5ende metoder f\u00f6r skydd, som endast \u00e4r effektiva f\u00f6r den specifika exploiten men inte \u00e5tg\u00e4rdar sj\u00e4lva problemet. Det rekommenderas att st\u00e4lla in parametern \"\/proc\/sys\/kernel\/unprivileged_userns_clone\" till 0 f\u00f6r att f\u00f6rbjuda monteringen av kataloger i ett separat anv\u00e4ndaridentifieringsutrymme och \"\/proc\/sys\/kernel\/unprivileged_bpf_disabled\" till 1 f\u00f6r att f\u00f6rbjuda laddning av eBPF-program till k\u00e4rnan.