Εντόπισαν μια ευπάθεια στον πυρήνα που θα μπορούσε να επιτρέψει την κλοπή πληροφοριών

Οι ερευνητές της Cisco Talos αποκάλυψαν πριν ΛΙΓΕΣ μερες μια ευπάθεια στον πυρήνα του Linux που μπορεί να αξιοποιηθεί για την κλοπή δεδομένων και επίσης να χρησιμεύσει ως μέσο για την κλιμάκωση των προνομίων και τον συμβιβασμό του συστήματος.

Τρωτό περιγράφεται ως «ευπάθεια αποκάλυψης πληροφοριών που θα μπορούσε να επιτρέψει σε έναν εισβολέα να δει τη μνήμη της στοίβας του πυρήνα."

Το CVE-2020-28588 είναι η ευπάθεια που ανακαλύφθηκε στη λειτουργικότητα proc/pid/sycall των συσκευών ARM 32-bit που τρέχει το λειτουργικό σύστημα. Σύμφωνα με τον Cisco Talos, το ζήτημα ανακαλύφθηκε για πρώτη φορά σε μια συσκευή που τρέχει το Azure Sphere.

Υπάρχει ένα θέμα ευπάθειας αποκάλυψης πληροφοριών στη λειτουργικότητα /proc/pid/sycall του Linux Kernel 5.1 Stable και 5.4.66. Πιο συγκεκριμένα, αυτό το ζήτημα έχει εισαχθεί στην έκδοση 5.1-rc4 (δεσμεύει 631b7abacd02b88f4b0795c08b54ad4fc3e7c7c0) και εξακολουθεί να υπάρχει στην έκδοση 5.10-rc4, επομένως όλες οι ενδιάμεσες εκδόσεις είναι πιθανό να επηρεαστούν. Ένας εισβολέας μπορεί να διαβάσει το /proc/pid/sycall για να ενεργοποιήσει αυτήν την ευπάθεια, η οποία προκαλεί διαρροή περιεχομένου μνήμης στον πυρήνα.

Το Proc είναι ένα ειδικό ψευδοσύστημα αρχείων σε λειτουργικά συστήματα τύπου Unix που χρησιμοποιείται για δυναμική πρόσβαση σε δεδομένα διεργασίας που βρίσκονται στον πυρήνα. Παρουσιάζει πληροφορίες σχετικά με διεργασίες και άλλες πληροφορίες συστήματος σε μια ιεραρχική δομή που μοιάζει με αρχείο.

Για παράδειγμα, περιέχει υποκαταλόγους /proc/[pid], καθένας από τους οποίους περιέχει αρχεία και υποκαταλόγους που εκθέτουν πληροφορίες για συγκεκριμένες διεργασίες, αναγνώσιμες χρησιμοποιώντας το αντίστοιχο αναγνωριστικό διεργασίας. Στην περίπτωση του αρχείου "syscall", είναι ένα νόμιμο αρχείο λειτουργικού συστήματος Linux που περιέχει εγγραφές των κλήσεων συστήματος που χρησιμοποιούνται από τον πυρήνα.

Για την εταιρεία, αυτόΟι χάκερ θα μπορούσαν να εκμεταλλευτούν το ελάττωμα και να αποκτήσουν πρόσβαση στο λειτουργικό σύστημα και στο αρχείο syscall μέσω ενός συστήματος που χρησιμοποιείται για την αλληλεπίδραση μεταξύ δομών δεδομένων πυρήνα, Proc. Η καταχώρηση syscall procfs θα μπορούσε να εκμεταλλευτεί εάν οι χάκερ εκδώσουν εντολές για τη δημιουργία 24 byte σε μη αρχικοποιημένη μνήμη σωρού, οδηγώντας σε παράκαμψη της τυχαιοποίησης διάταξης χώρου διευθύνσεων του πυρήνα (KASLR).

Κοιτάζοντας τη συγκεκριμένη λειτουργία, όλα φαίνονται καλά, αλλά αξίζει να σημειωθεί ότι το argsΗ παράμετρος που πέρασε προήλθε από το proc_pid_syscallλειτουργία και ως τέτοια είναι στην πραγματικότητα του τύπου __u64 args. Σε ένα σύστημα ARM, ο ορισμός της συνάρτησης μετατρέπει το μέγεθος του argπίνακας σε στοιχεία τεσσάρων byte από οκτώ byte (αφού unsigned longστο ARM είναι 4 byte), το οποίο έχει ως αποτέλεσμα να memcpyαντιγράφεται σε 20 byte (συν 4 για args[0]).

Ομοίως, για το i386, όπου unsigned longείναι μόνο 4 byte argsτα πρώτα 24 byte του ορίσματος γράφονται, αφήνοντας τα υπόλοιπα 24 byte ανέπαφα.

Και στις δύο περιπτώσεις, αν ανατρέξουμε στο proc_pid_syscallλειτουργία.

Ενώ στα 32-bit ARM και i386 αντιγράφουμε μόνο 24 byte στο argsπίνακα, η συμβολοσειρά μορφής καταλήγει να διαβάζει 48 byte από το argsμήτρα, αφού το %llxΗ συμβολοσειρά μορφής είναι οκτώ byte σε συστήματα 32-bit και 64-bit. Έτσι, 24 byte μη αρχικοποιημένης μνήμης σωρού καταλήγουν να βγαίνουν, κάτι που θα μπορούσε να οδηγήσει σε παράκαμψη KASLR.

Οι ερευνητές υποστηρίζουν ότι αυτή η επίθεση είναι "αδύνατο να εντοπιστεί εξ αποστάσεως σε ένα δίκτυο" επειδή διαβάζει ένα νόμιμο αρχείο λειτουργικού συστήματος Linux. "Εάν χρησιμοποιηθεί σωστά, ένας χάκερ θα μπορούσε να εκμεταλλευτεί αυτή τη διαρροή πληροφοριών για να εκμεταλλευτεί επιτυχώς άλλες ευπάθειες Linux που δεν έχουν επιδιορθωθεί", λέει η Cisco.

Σε αυτό το πλαίσιο, η Google είπε πρόσφατα:

«Τα ελαττώματα ασφαλείας της μνήμης απειλούν συχνά την ασφάλεια των συσκευών, ειδικά των εφαρμογών και των λειτουργικών συστημάτων. Για παράδειγμα, στο λειτουργικό σύστημα Android για κινητά που υποστηρίζεται επίσης από τον πυρήνα Linux, η Google λέει ότι διαπίστωσε ότι περισσότερες από τις μισές ευπάθειες ασφαλείας που αντιμετωπίστηκαν το 2019 ήταν αποτέλεσμα σφαλμάτων ασφαλείας της μνήμης.

Τελευταίο αλλά εξίσου σημαντικό συνιστάται η αναβάθμιση των εκδόσεων του πυρήνα Linux 5.10-rc4, 5.4.66, 5.9.8, όπως Αυτή η ευπάθεια έχει δοκιμαστεί και επιβεβαιωθεί ότι μπορεί να εκμεταλλευτεί τις ακόλουθες εκδόσεις πυρήνα Linux.

Τελικά αν ενδιαφέρεστε να μάθετε περισσότερα γι 'αυτό σχετικά με τη δημοσίευση, μπορείτε να ελέγξετε τις λεπτομέρειες στο παρακάτω σύνδεσμο.