\u0412 \u044f\u0434\u0440\u0435 Linux \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043f\u044f\u0442\u0430\u044f (1, 2, 3) \u0437\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0435 \u0434\u0432\u0435 \u043d\u0435\u0434\u0435\u043b\u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u0434\u043d\u044f\u0442\u044c \u0441\u0432\u043e\u0438 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043e \u0434\u0432\u0430 \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u044d\u043a\u0441\u043f\u043b\u043e\u0438\u0442\u0430: sshkeysign_pwn \u0434\u0430\u0451\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432\u044b\u0445 SSH-\u043a\u043b\u044e\u0447\u0435\u0439 \/etc\/ssh\/ssh_host_*_key, \u0430 chage_pwn — \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0444\u0430\u0439\u043b\u0430 \/etc\/shadow \u0441 \u0445\u044d\u0448\u0430\u043c\u0438 \u043f\u0430\u0440\u043e\u043b\u0435\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. <\/p>\n
Information om s\u00e5rbarheten var inte planerad f\u00f6r offentligg\u00f6rande, men en av s\u00e4kerhetsforskare lyckades baserat p\u00e5 det f\u00f6reslagna patchen f\u00f6r k\u00e4rnan identifiera k\u00e4rnan i s\u00e5rbarheten, vilket m\u00f6jligg\u00f6r l\u00e4sning av filer som endast \u00e4r tillg\u00e4ngliga f\u00f6r root-anv\u00e4ndaren, exempelvis \/etc\/shadow. \u00c4ndringen som lades till k\u00e4rnan justerade logiken f\u00f6r anv\u00e4ndningen av funktionen get_dumpable() i ptrace vid best\u00e4mning av \u00e5tkomstniv\u00e5 i funktionen ptrace_may_access(). <\/p>\n
S\u00e5rbarheten uppst\u00e5r direkt p\u00e5 grund av ett t\u00e4vlingsf\u00f6rh\u00e5llande, vilket leder till m\u00f6jligheten f\u00f6r obeh\u00f6rig \u00e5tkomst till filbeskrivaren pidfd efter att ha gjort en beg\u00e4ran om en fil fr\u00e5n en suid-rootprocess. Vid tidpunkten mellan \u00f6ppningen av filen och nedsl\u00e4ppning av privilegierna i suid-programmet (till exempel via funktionen setreuid), uppst\u00e5r en situation d\u00e4r applikationen som startade suid-rootprogrammet, via pidfd-beskrivaren kan komma \u00e5t den \u00f6ppna filen i suid-programmet, \u00e4ven om filens \u00e5tkomstr\u00e4ttigheter inte till\u00e5ter det. <\/p>\n
\u041e\u043a\u043d\u043e \u0434\u043b\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u044f «__ptrace_may_access()» \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0444\u0430\u0439\u043b\u0443, \u0435\u0441\u043b\u0438 \u043f\u043e\u043b\u0435 task->mm \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432\u044b\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043e \u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 NULL \u043f\u043e\u0441\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f exit_mm(), \u043d\u043e \u0434\u043e \u0432\u044b\u0437\u043e\u0432\u0430 exit_files(). \u0412 \u0434\u0430\u043d\u043d\u044b\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432 pidfd_getfd \u0441\u0447\u0438\u0442\u0430\u0435\u0442, \u0447\u0442\u043e \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f (uid) \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0443, \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0444\u0430\u0439\u043b\u0443. \u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0440\u0430\u043d\u0435\u0435 \u043d\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043e\u0431\u0440\u0430\u0449\u0430\u043b\u0438 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u0435\u0449\u0451 \u0432 2020 \u0433\u043e\u0434\u0443, \u043d\u043e \u043e\u043d\u0430 \u043e\u0441\u0442\u0430\u043b\u0430\u0441\u044c \u043d\u0435\u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439. <\/p>\n
I exploateringen som f\u00e5r inneh\u00e5llet i \/etc\/shadow, best\u00e5r attacken av cyklisk k\u00f6rning via fork+execl av applikationen \/usr\/bin\/chage med suid root-flagg, vilket l\u00e4ser inneh\u00e5llet i \/etc\/shadow. Efter att processen har klonats utf\u00f6rs systemanropet pidfd_open och en cyklisk genomg\u00e5ng av tillg\u00e4ngliga pidfd-beskrivare g\u00f6rs genom systemanropet pidfd_getfd och deras kontroll genom \/proc\/self\/fd. I exploateringen sshkeysign_pwn utf\u00f6rs liknande manipulationer med suid root-programmet ssh-keysign. <\/p>\n
CVE-identifier f\u00f6r problemen har \u00e4nnu inte tilldelats, k\u00e4rn- och paketuppdateringar i distributionerna har inte publicerats. I de k\u00e4rnorna som sl\u00e4pptes f\u00f6r n\u00e5gra timmar sedan, 7.0.7, 6.18.30 och 6.12.88, har s\u00e5rbarheten inte \u00e5tg\u00e4rdats. Vid tidpunkten f\u00f6r nyhetsf\u00f6rfattandet kan endast patchen anv\u00e4ndas. M\u00f6jliga tillv\u00e4gag\u00e5ngss\u00e4tt f\u00f6r att blockera s\u00e5rbarheten diskuteras, s\u00e5som att st\u00e4lla in sysctl kernel.yama.ptrace_scope=3 eller att ta bort suid root-flaggan fr\u00e5n k\u00f6rbara filer i systemet (\u00e5tminstone fr\u00e5n verktygen ssh-keysign och chage som anv\u00e4nds i exploits).