Das brachte die Nachricht kürzlich eine neue Schwachstelle identifiziert (bereits unter CVE-2021-4204 katalogisiert) im eBPF-Subsystem (für eine Änderung) ...
Und es ist so, dass das eBPF-Subsystem nicht aufgehört hat, ein großes Sicherheitsproblem für den Kernel zu sein, weil leicht im ganzen Jahr 2021 zwei Schwachstellen pro Monat bekannt wurden und von denen wir hier im Blog über einige davon sprechen.
In Bezug auf die Details des aktuellen Problems wird das erwähnt Die erkannte Schwachstelle ermöglicht die Ausführung eines Treibers im Linux-Kernel in einer speziellen virtuellen JIT-Maschine, die es wiederum einem nicht privilegierten lokalen Benutzer ermöglicht, Berechtigungen zu eskalieren und seinen Code auf Kernel-Ebene auszuführen.
In der Problembeschreibung wird darauf hingewiesen Die Sicherheitsanfälligkeit beruht auf einem unsachgemäßen Scannen von eBPF-Programmen, die zur Ausführung übertragen werden, da das eBPF-Subsystem Hilfsfunktionen bereitstellt, deren Korrektheit von einem speziellen Verifizierer überprüft wird.
Diese Schwachstelle ermöglicht es lokalen Angreifern, Berechtigungen zu erhöhen
Betroffene Linux-Kernel-Installationen. Ein Angreifer muss zuerst die erhalten
Möglichkeit, Code mit geringen Rechten auf dem Zielsystem auszuführen
diese Schwachstelle ausnutzen.Der spezifische Fehler besteht in der Handhabung von eBPF-Programmen. Die Frage ergibt sich aus dem Mangel an ordnungsgemäßer Validierung der vom Benutzer bereitgestellten eBPF-Programme bevor Sie sie ausführen.
Außerdem, Einige der Funktionen erfordern, dass der PTR_TO_MEM-Wert als Argument übergeben wird und der Verifizierer muss die Größe des Speichers kennen, der dem Argument zugeordnet ist, um potenzielle Pufferüberlaufprobleme zu vermeiden.
Während für die Funktionen bpf_ringbuf_submit und bpf_ringbuf_discard, Daten über die Größe des übertragenen Speichers werden nicht an die Prüfstelle gemeldet (hier beginnt das Problem), die der Angreifer ausnutzt, um bei der Ausführung von präpariertem eBPF-Code Speicherbereiche außerhalb der Puffergrenze überschreiben zu können.
Ein Angreifer kann diese Schwachstelle ausnutzen eskalieren Sie Berechtigungen und führen Sie Code im Kontext des Kernels aus. Beachten Sie, dass unprivilegiertes bpf in den meisten Distributionen standardmäßig deaktiviert ist.
Es wird erwähnt, dass, damit ein Benutzer einen Angriff ausführen kann, der Benutzer muss in der Lage sein, Ihr BPF-Programm zu laden, und viele neuere Linux-Distributionen blockieren dies standardmäßig (einschließlich des unprivilegierten Zugriffs auf eBPF ist jetzt standardmäßig im Kernel selbst ab Version 5.16 verboten).
Beispielsweise wird erwähnt, dass die Schwachstelle kann in der Standardkonfiguration in ausgenutzt werden eine Distribution, die immer noch ziemlich verwendet und vor allem sehr beliebt ist, wie sie ist Ubuntu 20.04LTS, aber in Umgebungen wie Ubuntu 22.04-dev, Debian 11, openSUSE 15.3, RHEL 8.5, SUSE 15-SP4 und Fedora 33 manifestiert es sich nur, wenn der Administrator den Parameter gesetzt hat kernel.unprivileged_bpf_disabled auf 0.
Derzeit wird als Problemumgehung zum Blockieren der Schwachstelle erwähnt, dass Sie verhindern können, dass nicht privilegierte Benutzer BPF-Programme ausführen, indem Sie den Befehl in einem Terminal ausführen:
sysctl -w kernel.unprivileged_bpf_disabled=1
Abschließend sollte erwähnt werden, dass Das Problem tritt seit Linux-Kernel 5.8 auf und bleibt ungepatcht (einschließlich Version 5.16) und deshalb der Exploit-Code wird um 7 Tage verzögert und wird um 12:00 UTC, also am 18. Januar 2022, veröffentlicht.
Mit ihm es soll genügend Zeit geben, um Korrekturpatches zur Verfügung zu stellen der Benutzer der verschiedenen Linux-Distributionen innerhalb der offiziellen Kanäle jeder dieser und sowohl Entwickler als auch Benutzer können diese Schwachstelle beheben.
Für diejenigen, die daran interessiert sind, den Status der Erstellung von Updates mit der Beseitigung des Problems in einigen der Hauptverteilungen zu erfahren, sollten sie wissen, dass sie von diesen Seiten aus verfolgt werden können: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch.
Wenn Sie daran interessiert, mehr darüber zu erfahren Über die Notiz können Sie die Originalerklärung einsehen im folgenden Link.