Nedávno to prolomila zpráva identifikovali novou zranitelnost (již uvedeno pod CVE-2021-4204) v subsystému eBPF (pro změnu) ...
A je to tím, že subsystém eBPF nepřestal být pro jádro velkým bezpečnostním problémem, protože v roce 2021 byly snadno odhaleny dvě zranitelnosti měsíčně a o některých z nich mluvíme zde na blogu.
Pokud jde o podrobnosti současného problému, je uvedeno, že zjištěná chyba zabezpečení umožňuje spuštění ovladače uvnitř jádra Linuxu ve speciálním virtuálním stroji JIT a že to zase umožňuje neprivilegovanému místnímu uživateli získat eskalaci oprávnění a spustit svůj kód na úrovni jádra.
V popisu problému to zmiňují zranitelnost je způsobena nesprávným skenováním programů eBPF přenášených ke spuštění, neboť subsystém eBPF poskytuje pomocné funkce, jejichž správnost je ověřována speciálním ověřovatelem.
Tato chyba zabezpečení umožňuje místním útočníkům zvýšit oprávnění na
ovlivněné instalace linuxového jádra. Útočník musí nejprve získat
schopnost spouštět nízkoprivilegovaný kód na cílovém systému
zneužít tuto zranitelnost.Specifická chyba existuje v zacházení s programy eBPF. Otázka vyplývá z nedostatku řádné validace programů eBPF poskytovaných uživateli před jejich spuštěním.
Kromě toho, některé funkce vyžadují, aby byla jako argument předána hodnota PTR_TO_MEM a ověřovatel musí znát velikost paměti spojené s argumentem, aby se vyhnul potenciálním problémům s přetečením vyrovnávací paměti.
Zatímco pro funkce bpf_ringbuf_submit a bpf_ringbuf_discard, údaje o velikosti přenesené paměti se ověřovateli nehlásí (zde začíná problém), čehož útočník využívá k tomu, aby mohl přepsat oblasti paměti mimo limit vyrovnávací paměti při spouštění speciálně vytvořeného kódu eBPF.
Útočník může tuto chybu zabezpečení zneužít k eskalovat oprávnění a spouštět kód v kontextu jádra. UPOZORŇUJEME, že neprivilegované bpf je ve výchozím nastavení na většině distribucí zakázáno.
Uvádí se, že aby uživatel mohl provést útok, uživatel musí být schopen načíst svůj program BPF a mnoho současných distribucí Linuxu jej blokuje standardně (včetně neprivilegovaného přístupu k eBPF je nyní standardně zakázán v samotném jádře, od verze 5.16).
Například je zmíněno, že zranitelnost lze využít ve výchozí konfiguraci v distribuce, která je stále poměrně používaná a především velmi oblíbená Ubuntu 20.04 LTS, ale v prostředích jako Ubuntu 22.04-dev, Debian 11, openSUSE 15.3, RHEL 8.5, SUSE 15-SP4 a Fedora 33 se projeví pouze v případě, že správce nastavil parametr kernel.unprivileged_bpf_disabled na 0.
V současné době se jako řešení blokování této chyby zabezpečení uvádí, že neprivilegovaným uživatelům lze zabránit ve spouštění programů BPF spuštěním příkazu v terminálu:
sysctl -w kernel.unprivileged_bpf_disabled=1
Na závěr je třeba zmínit, že problém se objevuje od linuxového jádra 5.8 a zůstává neopravený (včetně verze 5.16) a proto exploit kód bude zpožděn o 7 dní A bude zveřejněn ve 12:00 UTC, tedy 18. ledna 2022.
S tím Záměrem je poskytnout dostatek času na zpřístupnění opravných záplat uživatelů různých distribucí Linuxu v rámci oficiálních kanálů každé z nich a jak vývojáři, tak uživatelé mohou uvedenou zranitelnost opravit.
Pro ty, kteří mají zájem vědět o stavu tvorby aktualizací s odstraněním problému v některé z hlavních distribucí, měli by vědět, že je lze vysledovat z těchto stránek: Debian, RHEL, SUSE, Fedora, ubuntu, Arch.
Pokud zájem dozvědět se o tom více o poznámce si můžete prohlédnout původní prohlášení Na následujícím odkazu.