Cisco Talos 연구원 발표 몇일 전에 데이터를 훔치기 위해 악용 될 수있는 Linux 커널의 취약성 권한을 상승시키고 시스템을 손상시키는 수단으로도 사용됩니다.
취약점 '정보 공개 취약성'으로 설명 공격자가 커널 스택의 메모리를 볼 수 있습니다. '
CVE-2020-28588은 ARM 장치 proc / pid / syscall 기능에서 발견됨 운영 체제를 실행하는 32 비트. Cisco Talos에 따르면이 문제는 Azure Sphere를 실행하는 장치에서 처음 발견되었습니다.
Linux Kernel 5.1 Stable 및 5.4.66의 / proc / pid / syscall 기능에 정보 유출 취약성이 존재합니다. 보다 구체적으로,이 문제는 v5.1-rc4 (631b7abacd02b88f4b0795c08b54ad4fc3e7c7c0 커밋)에서 소개되었으며 v5.10-rc4에도 여전히 존재하므로 모든 중간 버전이 영향을받을 가능성이 있습니다. 공격자는이 취약점을 활성화하기 위해 / proc / pid / syscall을 읽어 커널이 메모리 내용을 잃게 만들 수 있습니다.
Proc는 특수한 의사 파일 시스템입니다. Unix와 유사한 운영 체제에서 프로세스 데이터에 동적으로 액세스하는 데 사용 커널에서 찾을 수 있습니다. 프로세스 정보 및 기타 시스템 정보를 파일과 유사한 계층 구조로 제공합니다.
예를 들어, 하위 디렉터리 / proc / [pid]를 포함하며 각 하위 디렉터리에는 해당 프로세스 ID를 사용하여 읽을 수있는 특정 프로세스에 대한 정보를 노출하는 파일 및 하위 디렉터리가 포함되어 있습니다. "syscall"파일의 경우 커널이 사용하는 시스템 호출 로그를 포함하는 합법적 인 Linux 운영 체제 파일입니다.
회사의 경우해커는 결함을 악용하고 운영 체제 및 syscall 파일에 액세스 할 수 있습니다. 커널 데이터 구조 사이에서 상호 작용하는 데 사용되는 시스템을 통해 Proc. syscall procfs 항목은 해커가 24 바이트의 초기화되지 않은 힙 메모리를 생성하는 명령을 실행하여 커널 주소 공간 레이아웃 무작위 화 (KASLR)를 우회하는 경우 악용 될 수 있습니다.
이 특정 기능을 살펴보면 모든 것이 잘 보이지만
args전달 된 매개 변수는proc_pid_syscall기능 및 실제로 유형입니다__u64 args. ARM 시스템에서 함수 정의는argXNUMX 바이트에서 XNUMX 바이트 요소의 배열 (unsigned longARM에서는 4 바이트), 결과적으로memcpy20 바이트로 복사됩니다 (args[0]).마찬가지로 i386의 경우
unsigned long4 바이트입니다.args인수의 처음 24 바이트가 기록되고 나머지 24 바이트는 그대로 유지됩니다.두 경우 모두
proc_pid_syscall함수.32 비트 ARM 및 i386에서는 24 바이트 만 복사합니다.
args배열에서 형식 문자열은 결국 48 바이트를 읽습니다.args매트릭스, 이후%llx32 비트 및 64 비트 시스템에서 형식 문자열은 24 바이트입니다. 따라서 XNUMX 바이트의 초기화되지 않은 힙 메모리가 출력을 가져와 KASLR 우회로 이어질 수 있습니다.
연구원들은 이 공격은 "네트워크에서 원격으로 탐지 할 수 없습니다." Linux 운영 체제에서 합법적 인 파일을 읽고 있기 때문입니다. "올바르게 사용된다면 해커는이 정보 유출을 이용하여 패치되지 않은 다른 Linux 취약점을 성공적으로 악용 할 수 있습니다."라고 Cisco는 말합니다.
이와 관련하여 Google은 최근 다음과 같이 말했습니다.
“메모리 보안 결함은 종종 장치, 특히 응용 프로그램 및 운영 체제의 보안을 위협합니다. 예를 들어, Linux 커널에서도 지원되는 Android 모바일 운영 체제에서 Google은 2019 년에 해결 된 보안 취약성의 절반 이상이 메모리 보안 버그로 인한 것이라고 밝혔습니다.
마지막으로 중요한 것은 Linux 커널 버전 5.10-rc4, 5.4.66, 5.9.8을 업데이트하는 것이 좋습니다. 이 취약점은 테스트를 거쳐 다음 버전의 Linux 커널을 악용 할 수 있음이 확인되었습니다.
최종적으로 그것에 대해 더 많이 알고 싶다면 게시물에 대한 자세한 내용은 다음 링크.