Nad avastasid tuumas haavatavuse, mis võib lubada teabe vargust

Cisco Talose teadlased vabastasid Paar päeva tagasi Linuxi tuuma haavatavus, mida saab andmete varastamiseks ära kasutada ning on ka vahend privileegide eskaleerimiseks ja süsteemi kompromiteerimiseks.

Haavatavus kirjeldatakse kui „teabe avalikustamise haavatavust mis võimaldaks ründajal näha tuumapinu mälu. '

CVE-2020-28588 on see haavatavus avastati ARM-i seadmetest proc / pid / syscall 32-bitised, mis käitavad operatsioonisüsteemi. Cisco Talose sõnul avastati probleem kõigepealt seadmest, kus töötab Azure Sphere.

Teabe avalikustamise haavatavus on Linux Kernel 5.1 Stable ja 5.4.66 funktsioonides / proc / pid / syscall. Täpsemalt öeldes on see probleem kasutusele võetud versioonis v5.1-rc4 (kohustub 631b7abacd02b88f4b0795c08b54ad4fc3e7c7c0) ja on endiselt versioonis v5.10-rc4, nii et tõenäoliselt mõjutatakse kõiki vaheversioone. Ründaja saab selle haavatavuse aktiveerimiseks lugeda / proc / pid / syscall, mille tulemusel tuum kaotab mälusisu.

Proc on spetsiaalne pseudofailisüsteem Unixi-laadsetes operatsioonisüsteemides kasutatakse protsessi andmetele dünaamiliseks juurdepääsuks leitud tuumast. Esitab protsessiteabe ja muu süsteemiteabe hierarhilises failitaolises struktuuris.

Näiteks sisaldab see alamkatalooge / proc / [pid], millest igaüks sisaldab faile ja alamkatalooge, mis paljastavad teavet konkreetsete protsesside kohta, mis on loetavad vastava protsessi ID abil. "Syscall" faili puhul on see seaduslik Linuxi operatsioonisüsteemi fail, mis sisaldab tuuma kasutatavate süsteemikõnede logisid.

Ettevõtte jaoks lHäkkerid saaksid viga ära kasutada ja pääseda juurde operatsioonisüsteemile ning syscall-failile süsteemi kaudu, mida kasutatakse kerneli andmestruktuuride suhtlemiseks, Proc. Syscall procfs kirjet saab kasutada, kui häkkerid annavad käske 24 baiti initsialiseerimata hunnikmälu genereerimiseks, mis viib tuuma aadressiruumide paigutamise juhuslikkuse (KASLR) ümbersõitmiseni.

Seda konkreetset funktsiooni vaadates tundub kõik korras, kuid väärib märkimist, et argsmöödunud parameeter pärines proc_pid_syscallfunktsioon ja on sellisena tegelikult tüüpi __u64 args. ARM-süsteemis teisendab funktsiooni määratlus argmassiiv neljabaidistes elementides kaheksast baidist (alates unsigned longARM-is on see 4 baiti), mille tulemuseks on memcpykopeeritakse 20 baiti (pluss 4 faili args[0]).

Samamoodi i386 puhul, kus unsigned longsee on 4 baiti, lihtsalt argskirjutatakse argumendi esimesed 24 baiti, jättes ülejäänud 24 baiti puutumatuks.

Mõlemal juhul, kui vaatame tagasi proc_pid_syscallfunktsiooni.

Kui 32-bitises ARM-is ja i386-s kopeerime failidesse ainult 24 baiti argsarray, vormingu string jõuab lõpuks lugeda 48 baiti argsmaatriks, kuna %llxVormingu string on kaheksa baiti 32- ja 64-bitistes süsteemides. Seega jõuab 24 baiti initsialiseerimata hunnikmälu lõpuks väljundini, mis võib viia KASLR-i möödaviiguni.

Teadlased väidavad seda seda rünnakut on "võrgus eemalt tuvastada" kuna see loeb Linuxi operatsioonisüsteemist õigustatud faili. "Õige kasutamise korral võib häkker seda infoleket ära kasutada, et edukalt ära kasutada muid parandamata Linuxi haavatavusi," ütleb Cisco.

Sellega seoses ütles Google hiljuti:

„Mäluturbe puudused ohustavad sageli seadmete, eriti rakenduste ja operatsioonisüsteemide turvalisust. Näiteks Androidi mobiilses operatsioonisüsteemis, mida toetab ka Linuxi kernel, leidis Google, et leidis, et enam kui pooled 2019. aastal lahendatud turvaauke olid mäluturbe vigade tagajärg.

Last but not least Sellest ajast alates on soovitatav värskendada Linuxi kerneli versioone 5.10-rc4, 5.4.66, 5.9.8 See haavatavus on testitud ja kinnitatud, et see suudab kasutada Linuxi tuuma järgmisi versioone.

Lõpuks kui olete huvitatud sellest rohkem teada saama Postituse kohta saate üksikasju vaadata jaotisest järgmine link.