ืคืจืืื ืคืื ื ืฉืืืืืงืืื (CVE-2022-0492) ืืื ืืขืจ ืืืืคืืขืืขื ืืืฆืืข ืคืื โโืื cgroups v1 ืจืขืกืืจืก ืืืืืืื ื ืืขืงืื ืืื ืืื ืื ืงืขืจื ืขื ืืขื ืขื ืืขืืืืจื ืื ืืคืืขืงื. Linux, ืืืึธืก ืงืขื ืืขื ืืฆื ืืืขืจื ืฆื ืึทื ืืืืืคื ืคืื ืืคืืขืืื ืืขืจืืข ืงืึทื ืืืื ืขืจืก. ืื ืคึผืจืึธืืืขื ืืึทื ืืคืขืกืืืจื ืืื ืึธื ืืืืื ืืืง ืืืื ืงืขืจื ืขื. Linux 2.6.24 ืืื ืคืืจืจืืืื ืืื ืงืขืจื ืขื ืืืืกืืืืขืก 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266, ืืื 4.9.301. ืืืจ ืงืขื ื ื ืืืคืืืื ืื ืืืืกืืืืข ืคืื โโืคืขืงื ืืคืืขืืืก ืืื ืืืกืืจืืืืืฉืึทื ื ืืืืฃ ืื ืืืขืืขืจ: Debian, ืกืืกืข, Ubuntu, RHEL, ืคืขืืึธืจืึท, ืืืฉืขื ืื, ืึทืจืืฉ Linux.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืจืขืื ืฆื ืึท ืืึธืืืง ืืขืืช ืืื ืื release_agent ืืขืงืข ืืึทื ืืืขืจ ืืืึธืก ืคืืืื ืฆื ืืืจืืคืืจื ืืขืืขืจืืง ืืฉืขืงืก ืืืขื ืคืืืกื ืืืง ืื ืืึทื ืืืขืจ ืืื ืคืื ืคึผืจืืืืืืึทืืืฉืึทื. ืื release_agent ืืขืงืข ืืื ืืขื ืืฆื ืฆื ืืขืคืื ืืจื ืื ืคึผืจืึธืืจืึทื ืฆื ืืืื ืขืงืกืึทืงืืืืึทื ืืืจื ืื ืงืขืจื ืืืขื ืึท ืคึผืจืึธืฆืขืก ืืื ืึท cgroup ืืื ืืขืจืืึทื ืืืืื. ืืขืจ ืคึผืจืึธืืจืึทื ืืืืคื ืืื ืืืึธืจืฆื ืืื ืืื ืึทืืข "ืงืืืคึผืึทืืืืึทืืื" ืืื ืืขืจ ืืืึธืจืฆื ื ืึทืืขืกืคึผืึทืกืข. ืขืก ืืื ืืขืืืขื ืื ืืขื ืืืขื ืึทื ืืืืื ืืขืจ ืึทืืืื ืืกืืจืึทืืึธืจ ืืื ืฆืืืจืื ืฆื ืื release_agent ืืึทืฉืืขืืืงื, ืึธืืขืจ ืืื ืคืึทืงื, ืื ืืฉืขืงืก ืืขื ืขื ืืืืืืขื ืฆื ืืขืื ืึทืงืกืขืก ืฆื ืืขืจ ืืืึธืจืฆื ืืึทื ืืฆืขืจ, ืืืึธืก ืืื ื ืืฉื ืืืกืฉืืืกื ืื ืกืขืืืื ืืก ืคืื ืืขื ืงืึทื ืืืื ืขืจ ืึธืืขืจ ืืืจื ืึท ืืืึธืจืฆื ืืึทื ืืฆืขืจ ืึธื ืึทืืืื ืืกืืจืึทืืึธืจ ืจืขืื (CAP_SYS_ADMIN) ).
ืืื ืึทืืขืจ, ืึทืืึท ืึท ืฉืืจืื ืืืึธืื ื ืืฉื ืืืื ืืืืขืจืงื ืืื ืึท ืืืึทืื ืขืจืึทืืืืืื, ืึธืืขืจ ืื ืกืืืืึทืฆืืข ืืื ืคืืจืขื ืืขืจื ืืื ืื ืึทืืืืขื ื ืคืื ืืึทื ืืฆืขืจ ื ืึทืืขืกืคึผืึทืกืขืก (ืืึทื ืืฆืขืจ ื ืึทืืขืกืคึผืึทืกืขืก), ืืืึธืก ืืึธืื ืืืจ ืฆื ืฉืึทืคึฟื ืืึทืืื ืืขืจ ืืืึธืจืฆื ืืืืขืจื ืืื ืงืึทื ืืืื ืขืจื ืืืึธืก ืืึธื ื ืื ืึธืืืืขืจืืึทืคึผ ืืื ืื ืืืึธืจืฆื ืืึทื ืืฆืขืจ. ืืืืคึผื ืกืืืืืืข. ืึทืงืงืึธืจืืื ืืื, ืคึฟืึทืจ ืึท ืืึทืคืึทืื, ืขืก ืืื ืืขื ืื ืฆื ืคืึทืจืืื ืื ืืืื release_agent ืืึทื ืืืขืจ ืืื ืึท ืงืึทื ืืืื ืขืจ ืืืึธืก ืืื ืืืื ืืืืืขื ืข ืืืึธืจืฆื ืืึทื ืืฆืขืจ ืืื ืึท ืืึทืืื ืืขืจ ืืึทื ืืฆืขืจ ืฉืืึทื ืคึผืืึทืฅ, ืืืึธืก, ื ืึธื ืงืึทืืคึผืืืืื ื ืืขื ืคึผืจืึธืฆืขืก, ืืืขื ืืืื ืขืงืกืึทืงืืืืึทื ืืื ืคืื ืคึผืจืืืืืืึทืืืฉืึทื ืคืื ืื ืืืืคึผื ืกืืืืืืข.
ืืืจื ืคืขืืืงืืึทื, cgroupfs ืืื ืืึธืื ืืขื ืืื ืึท ืงืึทื ืืืื ืขืจ ืืื ืืืืขื ืขื-ืืืืื ืืึธืืข, ืึธืืขืจ ืขืก ืืื ืงืืื ืคึผืจืึธืืืขื ืจืืืึธืื ืืื ื ืืขื ืคึผืกืขืืืึธืคืก ืืื ืฉืจืืึทืื ืืึธืืข ืืืื ืืืจ ืืึธืื CAP_SYS_ADMIN ืจืขืื ืึธืืขืจ ืืืจื ืฉืึทืคึฟื ืึท ื ืขืกืืขื ืงืึทื ืืืื ืขืจ ืืื ืึท ืืึทืืื ืืขืจ ืืึทื ืืฆืขืจ ื ืึธืืขื ืืื ืื ืื ืฉืึทืจืข ืกืืกืืขื ืจืืคื, ืืื ืืืึธืก CAP_SYS_ADMIN ืจืขืื ืืขื ืขื ืืืจืขืืืืื ืคึฟืึทืจ ืื ืืืฉืืคื ืงืึทื ืืืื ืขืจ.
ืื ืืืืงืข ืงืขื ืืืจืืืขืคืืจื ืืืขืจื ืืื ืจืื ืคืจืืืืืืขืืืขืก ืืื ืื ืืคืืขืืื ืืขืจืื ืงืื ืืขืื ืขืจ ืืืขืจ ืืืขื ืืขื ืืืืคื ื ืงืื ืืขืื ืขืจ ืื ืืขื no_new_privs ืคืื, ืืืืก ืคืืจืืืืื ืฆืืืขืืืืืืข ืคืจืืืืืืขืืืขืก ืคืื ืืขืืขืื ืืืขืจื. ืืื ืืฆืขืจ ื ืขืืขื ืกืคืขืืก ืืืื ืืืื ืืืื ืืขืฉืืขืื ืืืืคื ืกืืกืืขื (ืืืื ืืขืฉืืขืื ืืืจื ืืืคืืื ืืื Ubuntu ืืื ืคืขืืึธืจืึท, ืึธืืขืจ ื ืืฉื ืึทืงืืืืืืืืจื ืืื Debian ืืื RHEL) ืืื ืฆืืืจืื ืฆื ืืขืจ ืืืึธืจืฆื cgroup v1 (ืืืฉื, Docker ืืืืคื ืงืึธื ืืขืื ืขืจืก ืืื ืืขืจ ืืืึธืจืฆื RDMA cgroup). ืื ืึทืืึทืงืข ืืื ืืืื ืืขืืืขื ืืื CAP_SYS_ADMIN ืคึผืจืืืืืืขืืืขืก, ืืื ืืืขืืื ืคืึทื ืืึทื ืืฆืขืจ ื ืขืืขื ืกืคึผืืืก ืฉืืืฆืข ืืื ืฆืืืจืื ืฆื ืืขืจ ืืืึธืจืฆื cgroup v1 ืืืืขืจืึทืจืืืข ืืขื ืขื ื ืืฉื ืคืืจืืื ืื.
ืืื ืึทืืืฉืึทื ืฆื ืึทื ืืืืืคื ืคืื ืึทื ืืคืืขืืื ืืขืจื ืงืึทื ืืืื ืขืจ, ืื ืืืึทืื ืขืจืึทืืืืืื ืืืื ืึทืืึทืื ืคึผืจืึทืกืขืกืึทื ืืึธื ืืฉื ืืืจื ืึท ืืืึธืจืฆื ืืึทื ืืฆืขืจ ืึธื "ืงืืืคึผืึทืืืืึทืืื" ืึธืืขืจ ืงืืื ืืึทื ืืฆืขืจ ืืื CAP_DAC_OVERRIDE ืจืขืื (ืื ืืึทืคืึทืื ืจืืงืืืืืขืจื ืึทืงืกืขืก ืฆื ืืขืจ ืืขืงืข /sys/fs/cgroup/*/release_agent, ืืืึธืก ืืื ืึธืื ื ืืืจื ืืืึธืจืฆื) ืฆื ืืึทืงืืืขื ืึทืงืกืขืก ืฆื ืึทืืข ืกืืกืืขืืืง "ืงืืืคึผืึทืืืืึทืืื".
ืขืก ืืืขืจื ืืึทืืขืจืงื ืึทื ืื ืืืึทืื ืขืจืึทืืืืืื ืงืขื ื ืืฉื ืืืืกืืขื ืืฆื ืืืขืจื ืืืขื ืืขื ื ืืฆื ืื Seccomp, AppArmor ืืืขืจ SE ืฉืืฅ ืืขืงืึทื ืืืืขื.Linux ืคึฟืึทืจ ื ืึธื ืืขืจ ืืคืืขืืื ืืขืจืืงืืื ืคึฟืื ืงืึธื ืืขืื ืขืจืก, ืืืฒึทื ืกืขืงืงืึธืืคึผ ืืืึธืงืืจื ืืขื ืจืืฃ ืฆืื unshare() ืกืืกืืขื ืจืืฃ, ืืื AppArmor ืืื SELinux ืขืจืืืืื ื ืืฉื ืฆื ืืึธื ืืืจื cgroupfs ืืื ืฉืจืืื ืืึธืืข.
ืืงืืจ: opennet.ru
