Ata zbuluan një dobësi në kernel që mund të lejojë vjedhjen e informacionit

Studiuesit e Cisco Talos lëshuan Pak ditë më parë një dobësi në kernelin Linux që mund të shfrytëzohet për të vjedhur të dhëna dhe gjithashtu të shërbejë si një mjet për të përshkallëzuar privilegjet dhe për të kompromentuar sistemin.

Prekshmëria përshkruar si një 'cenueshmëri e zbulimit të informacionit gjë që mund të lejojë një sulmues të shohë kujtesën e pirjes së kernelit. '

CVE-2020-28588 është dobësia që zbuluar në pajisjet ARM funksionalitetin proc / pid / syscall 32-bit që ekzekutojnë sistemin operativ. Sipas Cisco Talos, problemi u zbulua së pari në një pajisje që ekzekutonte Azure Sphere.

Ekziston një dobësi e zbulimit të informacionit në funksionalitetin / proc / pid / syscall të Linux Kernel 5.1 Stable dhe 5.4.66. Më konkretisht, kjo çështje është prezantuar në v5.1-rc4 (kryen 631b7abacd02b88f4b0795c08b54ad4fc3e7c7c0) dhe është akoma e pranishme në v5.10-rc4, kështu që të gjitha versionet e ndërmjetme ka të ngjarë të preken. Një sulmues mund të lexojë / proc / pid / syscall për të aktivizuar këtë dobësi, duke bërë që kerneli të humbasë përmbajtjen e kujtesës.

Proc është një sistem i veçantë pseudo-skedarësh në sistemet operative të ngjashme me Unix që përdoret për të hyrë në mënyrë dinamike në të dhënat e procesit gjenden ne kernel. Paraqet informacionin e procesit dhe informacionin tjetër të sistemit në një strukturë hierarkike, të ngjashme me skedarin.

Për shembull, ai përmban nëndrejtori / proc / [pid], secila prej të cilave përmban skedarë dhe nëndrejtori që ekspozojnë informacione në lidhje me procese specifike, të lexueshme duke përdorur ID-në përkatëse të procesit. Në rastin e skedarit "syscall", është një skedar i ligjshëm i sistemit operativ Linux që përmban regjistrat e thirrjeve të sistemit të përdorura nga kerneli.

Për kompaninë, lHakerat mund të shfrytëzojnë të metën dhe të hyjnë në sistemin operativ dhe skedarin syscall përmes një sistemi të përdorur për të bashkëvepruar midis strukturave të të dhënave të kernelit, Proc. Hyrja e syscall procfs mund të shfrytëzohet nëse hakerat lëshojnë komanda për të gjeneruar 24 bajte memorie grumbullimi të pa inicializuar, duke çuar në një anashkalim të rastësimit të hapësirës së paraqitjes së adresës së kernelit (KASLR).

Duke parë këtë funksion specifik, gjithçka duket mirë, por vlen të përmendet se argsparametri i kaluar erdhi nga proc_pid_syscallfunksion dhe si i tillë është në të vërtetë i llojit __u64 args. Në një sistem ARM, përkufizimi i funksionit shndërron madhësinë e argkoleksion në elemente katër bajtësh nga tetë bajte (që prej unsigned longnë ARM është 4 bajt), që rezulton në atë në memcpykopjohet në 20 bajtë (plus 4 për args[0]).

Në mënyrë të ngjashme, për i386, ku unsigned longeshte 4 bajt, thjesht argsshkruhen 24 bajtët e parë të argumentit, duke lënë 24 bajte të mbetura të paprekura.

Në të dy rastet, nëse shikojmë prapa në proc_pid_syscallfunksion.

Ndërsa në 32-bit ARM dhe i386 ne kopjojmë vetëm 24 bajte në argsvarg, vargu i formatit përfundon duke lexuar 48 bajt të argsmatricë, që nga %llxVargu i formatit është tetë bajte në sistemet 32-bit dhe 64-bit. Pra, 24 bajt memorie grumbullimi të pa inicializuar përfundojnë duke marrë dalje, gjë që mund të çojë në një bajpas KASLR.

Studiuesit deklarojnë se ky sulm është "i pamundur të zbulohet nga distanca në një rrjet" sepse po lexon një skedar të ligjshëm nga sistemi operativ Linux. "Nëse përdoret si duhet, një haker mund të përfitojë nga kjo rrjedhje informacioni për të shfrytëzuar me sukses dobësitë e tjera të papastruara të Linux", thotë Cisco.

Në lidhje me këtë, Google kohët e fundit tha:

“Të metat e sigurisë së kujtesës shpesh kërcënojnë sigurinë e pajisjeve, veçanërisht të aplikacioneve dhe sistemeve operative. Për shembull, në sistemin operativ Android celular të mbështetur gjithashtu nga kerneli Linux, Google thotë se gjeti se më shumë se gjysma e dobësive të sigurisë të adresuara në 2019 ishin rezultat i gabimeve të sigurisë së kujtesës.

E fundit por jo më pak e Rekomandohet të azhurnoni versionet 5.10-rc4, 5.4.66, 5.9.8 të kernelit Linux, që prej Kjo dobësi është testuar dhe konfirmuar të jetë në gjendje të shfrytëzojë versionet e mëposhtme të kernelit Linux.

Më në fund nëse jeni të interesuar të dini më shumë për të Rreth postimit, ju mund të kontrolloni detajet në lidhja vijuese.