For nylig brød nyheden det en sårbarhed blev identificeret (CVE-2021-29154) i delsystemet eBPF, som sGiver dig mulighed for at køre sporing, undersystemanalyse og trafikkontrolcontrollere kører inde i Linux-kernen i en speciel JIT virtuel maskine, der tillader en lokal bruger at køre din kode på kerneniveau.
Ifølge forskerne, der identificerede sårbarheden, var de i stand til at udvikle en fungerende prototype af en udnyttelse til 86-bit og 32-bit x64-systemer, der kan bruges af en privilegeret bruger.
På samme tid Red Hat bemærker, at sværhedsgraden af problemet afhænger af tilgængeligheden af eBPF-systemopkaldet. for brugeren. For eksempel på RHEL og de fleste andre Linux-distributioner som standard kan sårbarheden udnyttes, når BPF JIT er aktiveret, og brugeren har CAP_SYS_ADMIN rettigheder.
Der er opdaget et problem i Linux-kernen, som de kan misbruge
ikke-privilegerede lokale brugere til at eskalere privilegier.Problemet er, hvordan BPF JIT-kompilatorerne beregner for nogle arkitekturer
Forgreningsforskydninger ved generering af maskinkode. Dette kan misbruges
for at oprette uregelmæssig maskinkode og køre den i kernetilstand,
hvor strømmen af kontrol er kapret for at udføre usikker kode.
Og det er, at de detaljerer det problemet skyldes en fejl, der genereres ved beregning af forskydningen af forgreningsinstruktionerne under JIT-kompilatoren, der genererer maskinkoden.
Især nævnes det, at når der genereres filialinstruktioner, tages der ikke hensyn til, at forskydningen kan ændre sig efter at have gennemgået optimeringsfasen, så denne fejl kan bruges til at generere unormal maskinkode og udføre den i kernen.
Det skal bemærkes, at Dette er ikke den eneste sårbarhed i eBPF-delsystemet, der er blevet kendt de seneste år, siden i slutningen af marts blev der identificeret yderligere to sårbarheder i kernen (CVE-2020-27170, CVE-2020-27171), som giver mulighed for at bruge eBPF til at være i stand til at omgå beskyttelse mod Specter-klasse sårbarheder, som gør det muligt at bestemme indholdet i kernelageret, og som resulterer i oprettelse af betingelser for den spekulative udførelse af visse operationer.
Spectre-angrebet kræver tilstedeværelsen af en bestemt rækkefølge af kommandoer i den privilegerede kode, hvilket fører til spekulativ udførelse af instruktioner. I eBPF er der fundet flere måder at generere sådanne instruktioner gennem manipulationer med BPF-programmer transmitteret til deres udførelse.
- CVE-2020-27170-sårbarheden er forårsaget af markørmanipulationer i BPF-kontrolleren, som får spekulative operationer til at få adgang til et område uden for bufferen.
- CVE-2020-27171-sårbarheden er relateret til et heltal underflow-bug, når der arbejdes med markører, hvilket fører til spekulativ adgang til data, der ikke er i bufferen.
Disse problemer er allerede rettet i kerneversioner 5.11.8, 5.10.25, 5.4.107, 4.19.182 og 4.14.227 og er inkluderet i kerneopdateringer til de fleste Linux-distributioner. Forskere har udarbejdet en udnyttelsesprototype, der gør det muligt for en uprivilegeret bruger at hente data fra kernehukommelsen.
Hvad angår en af de løsninger, der foreslået inden for Red Hat er:
Afbødning:
Dette problem påvirker ikke de fleste systemer som standard. En administrator skulle have aktiveret BPF JIT.
Det kan deaktiveres med det samme med kommandoen:
# echo 0 > /proc/sys/net/core/bpf_jit_enableEller det kan deaktiveres for alle efterfølgende systemstøvler ved at indstille en værdi i /etc/sysctl.d/44-bpf -jit-disable
## start file ## net.core.bpf_jit_enable=0</em> end file ##
Endelig hvis du er interesseret i at vide mere om det om denne sårbarhed, kan du tjekke detaljerne i følgende link.
Det er værd at nævne, at problemet fortsætter indtil version 5.11.12 (inklusive) og endnu ikke er løst i de fleste distributioner, selvom rettelsen allerede er på plads. fås som en patch.