In systemd-journald wurden drei Schwachstellen identifiziert

Es wurden drei Sicherheitslücken identifiziert, die es einem nicht privilegierten Angreifer ermöglichen, seine Berechtigungen für das System zu erhöhen und führen Sie den Code als root in systemd-journald aus, das für die Anmeldung bei systemd verantwortlich ist.

Sicherheitslücken Manifest in allen Distributionen, die systemd verwenden, Mit Ausnahme von SUSE Linux Enterprise 15, openSUSE Leap 15.0 und Fedora 28/29 in dem die systemd-Komponenten unter Einbeziehung von "-fstack-clash-Schutz" zusammengebaut werden.

Was sind Schwachstellen?

Sicherheitslücken bereits registriert in CVE-2018-16864 y CVE-2018-16865 Mit dieser Option können Sie Bedingungen zum Schreiben von Daten außerhalb der Grenzen des zugewiesenen Speicherblocks erstellen, während Verwundbarkeit CVE-2018-16866 ermöglicht es Ihnen, den Inhalt der externen Speicherbereiche zu lesen.

Forscher haben einen funktionierenden Prototyp des Exploits vorbereitet welche unter Verwendung der Schwachstellen CVE-2018-16865 und CVE-2018-16866.

Zu dem, was über diese Schwachstellen detailliert ist, berichten die Forscher Sie sagen uns, dass dies ermöglicht, Root-Rechte nach ungefähr 10 Minuten Angriff auf i386-Architektursysteme und 70 Minuten auf amd64-Systemen zu erlangen.

Dieser Exploit wurde unter Debian 9.5 getestet.

Sie erklären auch, dass:

Wenn ein Exploit geschrieben wird, Es wird die Stack-Flash-Technik verwendetDas Wesentliche dabei ist, Bedingungen zu schaffen, wenn sich der Inhalt des übergelaufenen Heaps im Stapelbereich befindet oder umgekehrt der Stapel den Heap-Bereich neu schreiben kann.

Dies äußert sich in Situationen, in denen der Stapel und der Heap nebeneinander angeordnet sind (der Stapelbereich folgt unmittelbar dem für den Heap zugewiesenen Speicher).

Der vorgeschlagene Exploit bestätigt die Annahme, dass der Schutz vor Angriffen der Stack Сlash-Klasse auf Linux-Kernel-Ebene nicht ausreicht.

Gleichzeitig wird der Angriff erfolgreich blockiert, wenn GCC mit aktivierter Option "-fstack-clash-protected" neu erstellt wird.

Über Schwachstellen

Verletzlichkeit CVE-2018-16864 wurde entdeckt, nachdem die Situation analysiert wurde, in der Anwendungen, die Daten speichern, durch einen Aufruf von syslog () in das Protokoll übertragen wurden.Eine große Anzahl von Befehlszeilenargumenten (mehrere Megabyte) führt zum Absturz des systemd-journald-Prozesses.

Die Analyse ergab, dass durch Bearbeiten einer Zeichenfolge mit Befehlszeilenargumenten eine kontrollierte Stapelwarteschlange am Anfang des Stapels platziert werden kann.

Für einen erfolgreichen Angriff ist es jedoch erforderlich, die Schutztechnik der im Kernel verwendeten Stapelschutzseite zu umgehen., dessen Wesen in der Ersetzung der Speicherseiten von Grenzen liegt. um eine Ausnahme auszulösen (Seitenfehler).

Um diesen Schutz parallel zu umgehen, startet systemd-journald im „Race-Zustand“”, Zeit zum Erfassen des Steuerprozesses, der aufgrund des Eintrags des Seitenspeichers kollabiert, schreibgeschützt.

Bei der Untersuchung der ersten Sicherheitsanfälligkeit traten zwei weitere Probleme auf.

Die zweite Sicherheitslücke Mit CVE-2018-16865 können Sie Stack-Flash-Overlay-Bedingungen erstellen Ähnliches gilt für das Schreiben einer sehr großen Nachricht in die Datei run / systemd / journal / socket.

Die dritte Sicherheitslücke CVE-2018-16866 wird angezeigt, wenn Sie eine Syslog-Nachricht mit dem letzten Zeichen ":" senden.

Aufgrund eines Fehlers beim Parsen von Zeichenfolgen wird die Abschlusszeichenfolge '\ 0' nach dem Verwerfen verworfen, und das Protokoll enthält einen Pufferabschnitt außerhalb von '\ 0', sodass Sie die Adressen des Stapels und der mmap ermitteln können.

• Die Sicherheitsanfälligkeit CVE-2018-16864 ist seit April 2013 erkennbar (erschienen in systemd 203), ist jedoch erst nach dem Wechsel zu systemd 230 im Februar 2016 betriebsbereit.
• Die Sicherheitsanfälligkeit CVE-2018-16865 besteht seit Dezember 2011 (systemd 38) und ist ab April 2013 (systemd 201) betriebsbereit.
• Die Probleme mit CVE-2018-16864 und CVE-2018-16865 wurden vor einigen Stunden im Hauptzweig von systemd behoben.

Die Sicherheitsanfälligkeit CVE-2018-16866 trat im Juni 2015 auf (systemd 221) und wurde im August 2018 behoben (in systemd 240 nicht angezeigt).

Die Veröffentlichung eines funktionierenden Exploits wurde auf die Veröffentlichung von Patches durch Distributionen verschoben.

Derzeit sind die Distributionen von Schwachstellen, die noch nicht gepatcht sind, die beliebtesten wie Debian, Ubuntu, RHEL, Fedora, SUSE sowie deren Derivate.