fa poc compartim aquí al blog la notícia sobre l'interès que ha mostrat Microsoft sobre el subsistema eBPF, ja que ha construït un subsistema per a Windows el qual utilitza el mètode d'anàlisi estàtic d'interpretació abstracta, que, en comparació amb el verificador eBPF per a Linux, demostra una taxa de falsos positius més baixa, admet anàlisi de bucle i proporciona una bona escalabilitat.
El mètode té en compte molts patrons d'execució típics obtinguts de l'anàlisi de programes eBPF existents. Aquest subsistema eBPF s'ha inclòs en el nucli de Linux des de la versió 3.18 i permet processar paquets de xarxa entrants / sortints, reenviar paquets, controlar l'ample de banda, interceptar trucades a sistema, controlar l'accés i realitzar el seguiment.
I és que parlant sobre això, Recentment es va donar a conèixer que s'han identificat dues noves vulnerabilitats al subsistema eBPF, que permet executar controladors dins el nucli de Linux en una màquina virtual JIT especial.
Les dues vulnerabilitats brinden l'oportunitat d'executar codi amb drets d'nucli, fora de la màquina virtual eBPF aïllada.
la informació sobre els problemes va ser publicada per l'equip Zero Day Initiative, que dirigeix la competència Pwn2Own, durant la qual aquest any es van demostrar tres atacs a Ubuntu Linux, en els quals es van utilitzar vulnerabilitats prèviament desconegudes (si les vulnerabilitats en el eBPF estan relacionades amb aquests atacs no s'informa).
Es va descobrir que el seguiment de límits de eBPF ALU32 per a operacions bit a bit (I, O i XOR) no es va actualitzar els límits de 32 bits.
Manfred Paul (@_manfp) de l'equip RedRocket CTF (@redrocket_ctf) treballant amb la iniciativa Zero Day de Trend Micro va descobrir que aquesta vulnerabilitat es podria convertir en lectures i escriptures fora dels límits en el nucli. Això ha estat reportat com ZDI-CAN-13590 i assignat CVE-2021-3490.
- CVE-2021-3490: la vulnerabilitat es deu a la falta de verificació fora de límits per a valors de 32 bits a l'realitzar operacions AND, OR i XOR bit a bit en eBPF ALU32. Un atacant pot aprofitar aquest error per llegir i escriure dades fora dels límits de la memòria intermèdia assignat. El problema amb les operacions XOR ha estat present des del nucli 5.7-rc1, i AND i OR des 5.10-rc1.
- CVE-2021-3489: la vulnerabilitat és causada per un error en la implementació de la memòria intermèdia d'anell i està relacionada amb el fet que la funció bpf_ringbuf_reserve no va verificar la possibilitat que la mida de l'àrea de memòria assignada sigui menor que la mida real de la memòria intermèdia ringbuf. El problema ha estat evident des del llançament de 5.8-rc1.
A més, també podem observar una altra vulnerabilitat en el nucli de Linux: CVE-2021-32606, que permet a un usuari local elevar els seus privilegis a l'nivell root. El problema es manifesta des del nucli de Linux 5.11 i és causat per una condició de carrera en la implementació de l'protocol CAN ISOTP, que fa possible canviar els paràmetres d'enllaç a l'socket causa de la falta de configuració dels bloquejos adequats en isotp_setsockopt () quan es processa la bandera CAN_ISOTP_SF_BROADCAST.
Una vegada que es tanca el socket, ISOTP continua enllaçant amb el sòcol de l'receptor, que pot continuar fent servir les estructures associades amb el sòcol després que s'allibera la memòria associada (use-after-free a causa de la crida a l'estructura isotp_sock ja alliberada a l'cridar isotp_rcv (). Mitjançant la manipulació de dades, pot anul·lar el punter a la funció sk_error_report () i executar el seu codi a nivell de l'nucli.
L'estat de la reparació de les vulnerabilitats en les distribucions es pot rastrejar en aquestes pàgines: Ubuntu, Debian, RHEL, Fedora, SUSE, Arc).
Les correccions també estan disponibles com pegats (CVE-2021-3489 i CVE-2021-3490). L'explotació de el problema depèn de la disponibilitat de la crida a sistema eBPF per a l'usuari. Per exemple, en la configuració per defecte en RHEL, l'explotació de la vulnerabilitat requereix que l'usuari tingui privilegis CAP_SYS_ADMIN.
Finalment si vols conèixer més a l'respecte, pots consultar els detalls en el següent enllaç.