Trois vulnérabilités ont été identifiées dans systemd-journald

Trois vulnérabilités ont été identifiées qui permettent à un attaquant non privilégié d'élever ses privilèges sur le système et exécutez le code en tant que root dans systemd-journald qui est responsable de la connexion à systemd.

Vulnérabilités manifeste dans toutes les distributions qui utilisent systemd, À l'exception de SUSE Linux Enterprise 15, openSUSE Leap 15.0 et Fedora 28/29, dans lequel les composants systemd sont assemblés avec l'inclusion de "-fstack-clash-protection".

Quelles sont les vulnérabilités?

Vulnérabilités déjà inscrit dans CVE-2018-16864 y CVE-2018-16865 vous permettent de créer des conditions pour écrire des données en dehors des limites du bloc mémoire alloué, tandis que la vulnérabilité CVE-2018-16866 vous permet de lire le contenu des zones de mémoire externe.

Les chercheurs ont préparé un prototype fonctionnel de l'exploit qui, en utilisant les vulnérabilités CVE-2018-16865 et CVE-2018-16866.

Pour ce qui est détaillé sur ces vulnérabilités, les chercheurs Ils nous disent que cela vous permet d'obtenir les privilèges root après environ 10 minutes d'attaque sur les systèmes d'architecture i386 et 70 minutes sur les systèmes amd64.

Cet exploit a été testé sur Debian 9.5.

Ils expliquent également que:

Lorsqu'un exploit est écrit, La technique Stack Сlash est utilisée, dont l'essence est de créer des conditions lorsque le contenu du tas débordé se trouve dans la zone de pile ou, à l'inverse, la pile peut réécrire la zone de tas.

Ce qui se manifeste dans les situations où la pile et le tas sont placés l'un à côté de l'autre (la zone de pile suit immédiatement la mémoire allouée pour le tas).

L'exploit proposé confirme l'hypothèse que la protection contre les attaques de classe Stack Сlash au niveau du noyau Linux n'est pas suffisante.

En même temps, l'attaque est bloquée avec succès en reconstruisant GCC avec l'option "-fstack-clash-protection" activée.

À propos des vulnérabilités

Vulnérabilité CVE-2018-16864 a été découvert après avoir analysé la situation dans laquelle le transfert d'applications qui enregistrent des données dans le journal via un appel à syslog (), un grand nombre d'arguments de ligne de commande (plusieurs mégaoctets) conduit au plantage du processus systemd-journald.

L'analyse a montré qu'en manipulant une chaîne avec des arguments de ligne de commande, une file d'attente de pile contrôlée peut être placée au début de la pile.

Mais pour une attaque réussie, il est nécessaire de contourner la technique de protection de la page de protection de pile utilisée dans le noyau., dont l'essence est dans la substitution des pages de mémoire des limites. pour lever une exception (erreur de page).

Pour contourner cette protection en parallèle systemd-journald démarre en «condition de concurrence»”, Laisser le temps de capturer l'effondrement du processus de contrôle dû à l'entrée de la mémoire de page, en lecture seule.

Lors de l'étude de la première vulnérabilité, deux autres problèmes se sont posés.

La deuxième vulnérabilité CVE-2018-16865 vous permet de créer des conditions de superposition Stack Сlash similaire en écrivant un très gros message dans le run / systemd / journal / socket.

La troisième vulnérabilité CVE-2018-16866 se manifeste si vous envoyez un message syslog avec le dernier caractère ":".

En raison d'une erreur dans l'analyse de la chaîne, la chaîne de terminaison '\ 0' après elle sera supprimée et l'enregistrement contiendra une partie tampon en dehors de '\ 0', vous permettant de trouver les adresses de la pile et de la mmap.

• La vulnérabilité CVE-2018-16864 est apparente depuis avril 2013 (apparue dans systemd 203), mais ne peut fonctionner qu'après le passage à systemd 230 en février 2016.
• La vulnérabilité CVE-2018-16865 est évidente depuis décembre 2011 (systemd 38) et est disponible pour opération à partir d'avril 2013 (systemd 201).
• Les problèmes CVE-2018-16864 et CVE-2018-16865 ont été résolus il y a quelques heures dans la branche principale de systemd.

La vulnérabilité CVE-2018-16866 est apparue en juin 2015 (systemd 221) et a été corrigée en août 2018 (ne s'affiche pas dans systemd 240).

La publication d'un exploit fonctionnel a été reportée jusqu'à la publication de correctifs par les distributions.

Actuellement, les distributions de vulnérabilités ne sont pas encore corrigées sont les plus populaires telles que Debian, Ubuntu, RHEL, Fedora, SUSE, ainsi que leurs dérivés.