Ailagbara kan (CVE-2021-4122) ti ṣe idanimọ ninu package Cryptsetup, ti a lo lati encrypt awọn ipin disk ni Linux, eyiti o fun laaye fifi ẹnọ kọ nkan jẹ alaabo lori awọn ipin ni ọna kika LUKS2 (Linux Unified Key Setup) nipasẹ iyipada metadata. Lati lo ailagbara naa, ikọlu gbọdọ ni iraye si ti ara si media ti paroko, i.e. Ọna naa jẹ oye nipataki fun ikọlu awọn ẹrọ ibi ipamọ ita ti paroko, gẹgẹbi awọn awakọ Flash, eyiti olutayo naa ni iwọle si ṣugbọn ko mọ ọrọ igbaniwọle lati ge data naa.
Ikọlu naa wulo fun ọna kika LUKS2 nikan ati pe o ni nkan ṣe pẹlu ifọwọyi ti metadata ti o ni iduro fun mimuuṣiṣẹpọ itẹsiwaju “reencryption ori ayelujara”, eyiti o fun laaye, ti o ba jẹ dandan lati yi bọtini iwọle pada, lati bẹrẹ ilana ti reencryption data lori fo. laisi idaduro iṣẹ pẹlu ipin. Niwọn igba ti ilana ti decryption ati fifi ẹnọ kọ nkan pẹlu bọtini tuntun gba akoko pupọ, “iṣiparọ ori ayelujara” jẹ ki o ṣee ṣe lati ma da iṣẹ duro pẹlu ipin ati ṣe fifi ẹnọ kọ nkan ni abẹlẹ, ni diėdiẹ tun-fifipamọ data lati bọtini kan si ekeji. . O tun ṣee ṣe lati yan bọtini ibi-afẹde ti o ṣofo, eyiti o fun ọ laaye lati yi abala naa pada sinu fọọmu decrypted.
Olukọni le ṣe awọn ayipada si metadata LUKS2 ti o ṣe adaṣe iṣẹyun ti iṣẹ decryption bi abajade ikuna kan ati ṣaṣeyọri decryption ti apakan ti ipin lẹhin imuṣiṣẹ ati lilo awakọ ti a tunṣe nipasẹ oniwun. Ni ọran yii, olumulo ti o ti sopọ mọ awakọ ti a yipada ati ṣiṣi pẹlu ọrọ igbaniwọle to pe ko gba ikilọ eyikeyi nipa ilana ti mimu-pada sipo iṣẹ isọdọtun ti idilọwọ ati pe o le rii nikan nipa ilọsiwaju ti iṣiṣẹ yii nipa lilo “luks Dump” pipaṣẹ. Iye data ti ikọlu le sọ di mimọ da lori iwọn akọsori LUKS2, ṣugbọn ni iwọn aiyipada (16 MiB) o le kọja 3 GB.
Iṣoro naa jẹ idi nipasẹ otitọ pe botilẹjẹpe fifi ẹnọ kọ nkan nilo iṣiro ati ijẹrisi hashes ti awọn bọtini titun ati atijọ, hash ko nilo lati bẹrẹ iṣiṣẹkuro ti ipinlẹ tuntun ba tumọ si isansa ti bọtini itele fun fifi ẹnọ kọ nkan. Ni afikun, metadata LUKS2, eyiti o ṣalaye algorithm fifi ẹnọ kọ nkan, ko ni aabo lati yipada ti o ba ṣubu si ọwọ olutako. Lati dènà ailagbara, awọn olupilẹṣẹ ṣafikun aabo afikun fun metadata si LUKS2, fun eyiti a ti ṣayẹwo hash afikun ni bayi, iṣiro da lori awọn bọtini ti a mọ ati awọn akoonu metadata, ie. ikọlu ko le yi awọn metadata surreptitiously yi pada lai mọ ọrọ igbaniwọle decryption.
Oju iṣẹlẹ ikọlu aṣoju nilo pe olukolu ni anfani lati gba ọwọ wọn lori awakọ ni ọpọlọpọ igba. Ni akọkọ, ikọlu ti ko mọ ọrọ igbaniwọle iwọle ṣe awọn ayipada si agbegbe metadata, nfa idinku ti apakan data naa nigbamii ti awakọ naa ti mu ṣiṣẹ. Awọn drive ti wa ni ki o si pada si awọn oniwe-ibi ati awọn attacker duro titi ti olumulo so o nipa titẹ a ọrọigbaniwọle. Nigbati ẹrọ naa ba muu ṣiṣẹ nipasẹ olumulo, ilana isọdọtun isale ti bẹrẹ, lakoko eyiti apakan ti data ti paroko ti rọpo pẹlu data decrypted. Siwaju sii, ti ikọlu ba ṣakoso lati gba ọwọ rẹ lori ẹrọ naa lẹẹkansi, diẹ ninu awọn data lori kọnputa yoo wa ni fọọmu decrypted.
Iṣoro naa jẹ idanimọ nipasẹ olutọju ise agbese cryptsetup ati ti o wa titi ni awọn imudojuiwọn cryptsetup 2.4.3 ati 2.3.7. Ipo awọn imudojuiwọn ti n ṣe lati ṣatunṣe iṣoro naa ni awọn pinpin ni a le tọpinpin lori awọn oju-iwe wọnyi: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. Ailagbara naa han nikan lati itusilẹ ti cryptsetup 2.2.0, eyiti o ṣafihan atilẹyin fun iṣẹ “ipilẹṣẹ ori ayelujara”. Gẹgẹbi iṣẹ ṣiṣe fun aabo, ifilọlẹ pẹlu aṣayan “--disable-luks2-reencryption” le ṣee lo.
orisun: opennet.ru