Au fost identificate trei vulnerabilități în systemd-journald

Au fost identificate trei vulnerabilități care permit unui atacator fără privilegii să își ridice privilegiile asupra sistemului și rulați codul ca root în systemd-journald, care este responsabil pentru logarea în systemd.

Vulnerabilități se manifestă în toate distribuțiile care utilizează systemd, Cu excepția SUSE Linux Enterprise 15, openSUSE Leap 15.0 și Fedora 28/29, în care componentele systemd sunt asamblate cu includerea „-fstack-clash-protection”.

Ce sunt vulnerabilitățile?

Vulnerabilități deja înregistrat în CVE-2018-16864 y CVE-2018-16865 vă permit să creați condiții pentru a scrie date în afara limitelor blocului de memorie alocat, în timp ce vulnerabilitatea CVE-2018-16866 vă permite să citiți conținutul zonelor de memorie externe.

Cercetătorii au pregătit un prototip de lucru al exploitului care, folosind vulnerabilitățile CVE-2018-16865 și CVE-2018-16866.

La ceea ce este detaliat despre aceste vulnerabilități, cercetătorii Ei ne spun că acest lucru permite să obțineți privilegii de root după aproximativ 10 minute de atac asupra sistemelor de arhitectură i386 și 70 de minute pe sistemele amd64.

Acest exploit a fost testat pe Debian 9.5.

Ei explică, de asemenea, că:

Când este scris un exploit, Se utilizează tehnica Stack Сlash, a cărui esență este de a crea condiții atunci când conținutul heapului debordat se află în zona stivei sau, dimpotrivă, stiva poate rescrie zona heap.

Ceea ce se manifestă în situații în care teancul și heap-ul sunt plasate adiacent unul față de celălalt (zona teancului urmează imediat memoria alocată heap-ului).

Exploatarea propusă confirmă presupunerea că protecția împotriva atacurilor de clasă Stack Сlash la nivelul kernel-ului Linux nu este suficientă.

În același timp, atacul este blocat cu succes la reconstruirea GCC cu opțiunea „-fstack-clash-protection” activată.

Despre vulnerabilități

Vulnerabilitate CVE-2018-16864 a fost descoperit după analiza situației în care transferul aplicațiilor care salvează date în jurnal printr-un apel către syslog (), un număr mare de argumente de linie de comandă (câțiva megaocteți) duce la blocarea procesului systemd-journald.

Analiza a arătat că prin manipularea unui șir cu argumente din linia de comandă, o coadă de stivă controlată poate fi plasată la începutul stivei.

Dar pentru un atac reușit, este necesar să ocoliți tehnica de protecție a paginii de protecție a stivei folosită în nucleu., a cărui esență este în substituirea paginilor de memorie ale limitelor. pentru a ridica o excepție (defecțiune pagină).

Pentru a ocoli această protecție în paralel systemd-journald începe în „stare de cursă”, Acordând timp pentru capturarea procesului de control care se prăbușește din cauza intrării în memorie a paginii, numai în citire.

În procesul studierii primei vulnerabilități, au apărut încă două probleme.

A doua vulnerabilitate CVE-2018-16865 vă permite să creați condiții de suprapunere Stack Сlash similar scriind un mesaj foarte mare în fișierul run / systemd / journal / socket.

A treia vulnerabilitate CVE-2018-16866 se manifestă dacă trimiteți un mesaj syslog cu ultimul caracter ":".

Din cauza unei erori la analizarea șirurilor, șirul de terminare '\ 0' după ce va fi eliminat și înregistrarea va conține o porțiune tampon în afara lui '\ 0', permițându-vă să aflați adresele stivei și ale mmap-ului.

• Vulnerabilitatea CVE-2018-16864 este evidentă din aprilie 2013 (a apărut în systemd 203), dar este adecvată pentru funcționare numai după trecerea la systemd 230 în februarie 2016.
• Vulnerabilitatea CVE-2018-16865 este evidentă din decembrie 2011 (systemd 38) și este disponibilă pentru funcționare începând din aprilie 2013 (systemd 201).
• Problemele CVE-2018-16864 și CVE-2018-16865 au fost rezolvate acum câteva ore în ramura master a systemd.

Vulnerabilitatea CVE-2018-16866 a apărut în iunie 2015 (systemd 221) și a fost remediată în august 2018 (nu apare în systemd 240).

Eliberarea unui exploit de lucru a fost amânată până la eliberarea patch-urilor de către distribuții.

În prezent, distribuțiile vulnerabilităților nu sunt încă reparate sunt cele mai populare, cum ar fi Debian, Ubuntu, RHEL, Fedora, SUSE, precum și derivatele lor.