Nemrég erről szólt a hír új sebezhetőséget azonosított (már szerepel a CVE-2021-4204 alatt) az eBPF alrendszerben (A változásért) ...
És az van, hogy az eBPF alrendszer nem szűnt meg nagy biztonsági problémának lenni a Kernel számára, mert 2021 egészében könnyen kiderült havonta két sebezhetőség, amelyek közül néhányról itt a blogon beszélünk.
A jelenlegi probléma részleteivel kapcsolatban megemlítik, hogy az észlelt sebezhetőség lehetővé teszi, hogy egy illesztőprogram futhasson a Linux kernelen belül egy speciális JIT virtuális gépben, és ez lehetővé teszi a helyi, nem privilegizált felhasználók számára, hogy jogosultság-eszkalációt kapjanak, és kernel szinten hajtsák végre a kódjukat.
A probléma leírásában ezt említik a sérülékenység oka a végrehajtásra továbbított eBPF programok helytelen vizsgálata, mivel az eBPF alrendszer olyan segédfunkciókat biztosít, amelyek helyességét egy speciális hitelesítő ellenőrzi.
Ez a biztonsági rés lehetővé teszi a helyi támadók számára, hogy növeljék jogosultságaikat
érintett Linux kernel telepítések. A támadónak először meg kell szereznie a
alacsony jogosultságú kód futtatásának képessége a célrendszeren
kihasználni ezt a sebezhetőséget.A konkrét hiba az eBPF programok kezelésében van. A kérdés a felhasználó által biztosított eBPF programok megfelelő érvényesítésének hiányából adódik mielőtt futtatná őket.
Amellett, hogy, egyes függvények megkövetelik a PTR_TO_MEM érték átadását argumentumként és az ellenőrzőnek ismernie kell az argumentumhoz tartozó memória méretét, hogy elkerülje az esetleges puffertúlcsordulási problémákat.
Míg a funkciókhoz bpf_ringbuf_submit és bpf_ringbuf_discard, az átvitt memória méretére vonatkozó adatokat nem jelentik a hitelesítőnek (itt kezdődik a probléma), amit a támadó kihasznál, hogy a pufferkorláton kívüli memóriaterületeket felülírhassa, amikor speciálisan kialakított eBPF kódot hajt végre.
A támadó kihasználhatja ezt a biztonsági rést a jogosultságok kiterjesztése és a kód futtatása kernelkörnyezetben. FIGYELEM, hogy a privileged bpf alapértelmezés szerint a legtöbb disztribúción le van tiltva.
Megemlítik, hogy ahhoz, hogy a felhasználó támadást hajtson végre, a felhasználónak be kell tudnia tölteni a BPF-programját, és sok újabb Linux disztribúció blokkolja azt alapértelmezés szerint (beleértve az eBPF-hez való jogosulatlan hozzáférést alapértelmezés szerint magában a kernelben, az 5.16-os verziótól kezdve).
Például megemlítik, hogy a sebezhetőség Az alapértelmezett konfigurációban kihasználható egy olyan disztribúció, amely még mindig eléggé használt, és mindenekelőtt nagyon népszerű úgy, ahogy van Ubuntu 20.04 LTS, de olyan környezetekben, mint az Ubuntu 22.04-dev, Debian 11, openSUSE 15.3, RHEL 8.5, SUSE 15-SP4 és Fedora 33, csak akkor jelenik meg, ha a rendszergazda beállította a paramétert kernel.unprivileged_bpf_disabled 0-ra.
Jelenleg a biztonsági rés blokkolásának megoldásaként megemlítik, hogy a jogosulatlan felhasználók megakadályozhatók BPF-programok futtatásában, ha a parancsot a terminálon futtatják:
sysctl -w kernel.unprivileged_bpf_disabled=1
Végül meg kell említeni, hogy a probléma a Linux kernel 5.8 óta jelent meg, és továbbra is javítatlan (beleértve az 5.16-os verziót), és ezért a kihasználó kód 7 napig késik És 12:00 UTC-kor, azaz 18. január 2022-án jelenik meg.
Azzal Célja, hogy elegendő időt biztosítson a javító tapaszok elérhetővé tételére a különböző Linux-disztribúciók felhasználói mindegyik hivatalos csatornáin belül, és mind a fejlesztők, mind a felhasználók kijavíthatják a biztonsági rést.
Azok számára, akik szeretnének tudni a frissítések létrehozásának állapotáról a probléma kiküszöbölésével néhány fő disztribúcióban, tudniuk kell, hogy ezek az alábbi oldalakon követhetők: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch.
Ha érdekelne többet megtudni róla a jegyzetről megtekintheti az eredeti nyilatkozatot A következő linken.