Linux eBPF alt sisteminde bir güvenlik açığı keşfettiler

Son zamanlarda haberler bunu kırdı bir güvenlik açığı tespit edildi EBPF alt sisteminde (CVE-2021-29154), pİzleme, alt sistem analizi ve trafik kontrol denetleyicilerini çalıştırmaya izin verir Linux çekirdeğinin içinde özel bir JIT sanal makinesinde çalışan yerel bir kullanıcının kodunuzu çekirdek düzeyinde çalıştırmasına izin verir.

Güvenlik açığını tespit eden araştırmacılara göre, ayrıcalıksız bir kullanıcı tarafından kullanılabilecek 86 bit ve 32 bit x64 sistemleri için bir istismarın çalışan bir prototipini geliştirebildiler.

Aynı zamanda, Red Hat, sorunun ciddiyetinin eBPF sistem çağrısının kullanılabilirliğine bağlı olduğunu belirtiyor. kullanıcı için. Örneğin, RHEL ve diğer birçok Linux dağıtımında varsayılan olarak, BPF JIT etkinleştirildiğinde ve kullanıcının CAP_SYS_ADMIN haklarına sahip olduğunda güvenlik açığından yararlanılabilir.

Linux çekirdeğinde kötüye kullanabilecekleri bir sorun keşfedildi
ayrıcalıkları yükseltmek için ayrıcalıklı olmayan yerel kullanıcılar.

Sorun, BPF JIT derleyicilerinin bazı mimariler için nasıl hesapladığıdır.
Makine kodu oluştururken dal kaymaları. Bu kötüye kullanılabilir
anormal makine kodu oluşturmak ve bunu çekirdek modunda çalıştırmak için,
güvenli olmayan kodu yürütmek için kontrol akışının ele geçirildiği yer.

Ve onlar bunu detaylandırıyorlar sorun, dallanma talimatlarının ofseti hesaplanırken oluşan bir hatadan kaynaklanır makine kodunu oluşturan JIT derleyicisi sırasında.

Özellikle dallanma komutları oluşturulurken optimizasyon aşamasından geçtikten sonra yer değiştirmenin değişebileceği dikkate alınmadığı için bu hatanın anormal makine kodu üretmek ve çekirdek seviyesinde yürütmek için kullanılabileceği belirtilmektedir.

Bu not edilmelidir EBPF alt sistemindeki son yıllarda bilinen tek güvenlik açığı bu değil, çünkü Mart ayının sonunda, çekirdekte iki güvenlik açığı daha belirlendi (CVE-2020-27170, CVE-2020-27171)eBPF'yi Spectre sınıfı güvenlik açıklarına karşı korumayı atlamak için kullanma yeteneği sağlayan, çekirdek belleğinin içeriğinin belirlenmesine izin veren ve belirli işlemlerin spekülatif yürütülmesi için koşulların yaratılmasıyla sonuçlanan.

Spectre saldırısı, ayrıcalıklı kodda belirli bir komut dizisinin varlığını gerektirir ve bu da talimatların spekülatif olarak yürütülmesine yol açar. EBPF'de birkaç yol bulundu bu tür talimatları, yürütülmeleri için iletilen BPF programları ile manipülasyonlar yoluyla oluşturmak.

• CVE-2020-27170 güvenlik açığı, spekülatif işlemlerin arabellek dışındaki bir alana erişmesine neden olan BPF denetleyicisindeki işaretçi manipülasyonlarından kaynaklanıyor.
• CVE-2020-27171 güvenlik açığı, işaretçilerle çalışırken ortaya çıkan bir tamsayı yetersizliği hatasıyla ilgilidir ve bu durum, arabellek dışı verilere spekülatif erişime yol açar.

Bu sorunlar, 5.11.8, 5.10.25, 5.4.107, 4.19.182 ve 4.14.227 çekirdek sürümlerinde zaten düzeltilmiş ve çoğu Linux dağıtımı için çekirdek güncellemelerine dahil edilmiştir. Araştırmacılar, ayrıcalıklı olmayan bir kullanıcının çekirdek belleğinden veri almasına izin veren bir istismar prototipi hazırladılar.

Çözümlerden biri ile ilgili olarak Red Hat içinde önerilen:

Azaltma:

Bu sorun varsayılan olarak çoğu sistemi etkilemez. Bir yöneticinin etkilenmesi için BPF JIT'i etkinleştirmiş olması gerekir.

Şu komutla hemen devre dışı bırakılabilir:

# echo 0 > /proc/sys/net/core/bpf_jit_enable

Veya /etc/sysctl.d/44-bpf -jit-disable içinde bir değer ayarlayarak sonraki tüm sistem önyüklemeleri için devre dışı bırakılabilir.

## start file ##
net.core.bpf_jit_enable=0</em>
end file ##

Nihayet onun hakkında daha fazla bilgi edinmekle ilgileniyorsan bu güvenlik açığı hakkında ayrıntıları kontrol edebilirsiniz aşağıdaki bağlantı.

Sorunun 5.11.12 sürümüne (dahil) kadar devam ettiğini ve düzeltme zaten yerinde olmasına rağmen çoğu dağıtımda henüz çözülmediğini belirtmekte fayda var. yama olarak mevcuttur.