最近、危険と分類されたいくつかの脆弱性が検出されたというニュースが発表されました Linuxカーネルで これにより、ローカルユーザーはシステムでの特権を昇格させることができます。
最初の脆弱性は CVE-2022-0995 そして イベント追跡サブシステム「watch_queue」に存在します これにより、割り当てられたバッファの外側のカーネルメモリの領域にデータが書き込まれます。 攻撃は、特権を持たないすべてのユーザーが実行でき、カーネル特権を使用してコードを実行できます。
この脆弱性はwatch_queue_set_size（）関数に存在し、メモリが割り当てられていない場合でも、リストからすべてのポインタをクリアしようとする試みに関連しています。 この問題は、ほとんどのLinuxディストリビューションで使用されている「CONFIG_WATCH_QUEUE=y」オプションを使用してカーネルを構築するときに明らかになります。
脆弱性が言及されている 解決しました に追加された変更で 11月XNUMX日のカーネル。
開示されたXNUMX番目の脆弱性は CVE-2022-27666 何ですか カーネルモジュールesp4およびesp6に存在します IPv4とIPv6の両方を使用するときに使用されるIPsecのカプセル化セキュリティペイロード（ESP）変換を実装します。
脆弱性 通常の特権を持つローカルユーザーがカーネルメモリ内のオブジェクトを上書きし、それらの特権を昇格できるようにします システム内。 メッセージの最大サイズがskb_page_frag_refill構造体に割り当てられたメモリの最大サイズを超える可能性があるため、この問題は、割り当てられたメモリのサイズと実際に受信されたデータの不一致が原因です。
と言われています 脆弱性は7月XNUMX日にカーネルで修正されました （5.17、5.16.15などで修正）、プラス 実用的なプロトタイプが公開されました 通常のユーザーがデフォルト設定でUbuntuDesktop21.10のrootアクセスを取得できるようにするエクスプロイトから GitHubで。
と述べられています マイナーな変更により、このエクスプロイトはFedoraとDebianでも機能します。 このエクスプロイトは元々pwn2own2022の競争のために準備されたものですが、関連するバグはカーネル開発者によって特定および修正されたため、脆弱性の詳細を開示することにしました。
開示されたその他の脆弱性は CVE-2022-1015 y CVE-2022-1016 nf_tablesモジュールのnetfilterサブシステム内 これはnftablesパケットフィルターにフィードします。 問題を特定した研究者は、両方の脆弱性に対する実用的なエクスプロイトの準備を発表しました。これらの脆弱性は、ディストリビューションがカーネルパッケージの更新をリリースしてから数日後にリリースされる予定です。
最初の問題 特権のないローカルユーザーがスタックへの範囲外の書き込みを実行できるようにします。 オーバーフローは、nftablesルールにアクセスできるユーザーによって提供されたインデックスの検証フェーズ中に処理される整形式のnftables式の処理で発生します。
脆弱性が原因です 開発者がそれを暗示しているという事実に 「enumnft_registersreg」の値はXNUMXバイトで、 同時に 特定の最適化が有効になっている場合、コンパイラ、仕様C89によると、 32ビット値を使用できます それのための。 この癖のため、メモリのチェックと割り当てに使用されるサイズは、構造内のデータの実際のサイズに対応しておらず、スタックポインタでの構造のテーリングにつながります。
この問題を悪用して、カーネルレベルでコードを実行することができます。 ただし、攻撃を成功させるには、nftablesにアクセスする必要があります。
これらは、CLONE_NEWUSERまたはCLONE_NEWNET権限を持つ別のネットワーク名前空間（ネットワーク名前空間）で取得できます（たとえば、分離されたコンテナーを実行できる場合）。 この脆弱性は、コンパイラーが使用する最適化とも密接に関連しています。たとえば、「CONFIG_CC_OPTIMIZE_FOR_PERFORMANCE=y」モードでコンパイルすると有効になります。 Linuxカーネル5.12以降、この脆弱性の悪用が可能です。
netfilterのXNUMX番目の脆弱性が発生します アクセスするとき すでに解放されたメモリ領域 （use-after-free）nft_do_chainドライバーで、初期化されていないカーネルメモリ領域のリークを引き起こす可能性があります。これは、nftables式を操作して読み取ることができ、たとえば、他の脆弱性の開発エクスプロイト中にポインターアドレスを決定するために使用できます。 Linuxカーネル5.13以降、この脆弱性の悪用が可能です。
脆弱性は、最近リリースされた修正カーネルアップデートで修正されました。