OpenBSD 7.9: zwei gepflasterte Fehler, die lokale Privileg Klettern erlaubt

Heute wurde eine Kette von Ausbeutung lokaler Privilegien gegen OpenBSD 7.9 veröffentlicht, die nach dem Bericht des Sicherheitsunternehmens Calif einen Angreifer erlaubt, sich durch die Ausbeutung von zwei korrigierten Fehlern im September zu verwurzeln. Die Patches für beide Fehler sind bereits im September als errata verfügbar und verteilt; der erste (Gesamtüberlauf in shmat (4)) wurde am 14. September als errata 018 korrigiert und der zweite (in der Referenzzahl gebrauchsfrei) am 30. September als errata 026 korrigiert. Die Korrekturen sind über syspatch verfügbar und decken laut OpenBSD alle Architekturen ab. Es gibt jetzt keine CVE, die entweder den beiden Versagen oder öffentlichen Beweisen der Verwendung bei gezielten Angriffen zugeordnet ist.

Fakten bestätigt: der Anfangsvektor ist ein Gesamtüberlauf in der Shmat (4) geteilten Speicheraufsatzfunktion, geerbt aus der ursprünglichen Definition des BSD-Kernels für den Add-On-Zähler shm _ nattch als kurz mit 16 Bit-Zeichen (maximal 32.767). OpenBSD hat diesen Typ nicht erweitert und die Explosion nutzt, dass, wenn genug gemeinsame Speichersegmente und viele Prozesse erstellt werden, dieser Zähler seine Grenze überschreiten und die Wertumschlingung negativ machen kann. Das zweite Stück der Kette ist ein Ausfall in der Referenzzahl, die zu einer gebrauchsfrei. Calif veröffentlichte nach der Lieferung von Patches von OpenBSD einen technischen Analyse- und Konzepttestcode.

Wie die Kette funktioniert - technische Erklärung aus dem Bericht rekonstruiert: der Angreifer kartiert Dutzende von geteilten Speichersegmenten und erzeugt zahlreiche Prozesse, um shm aufblasen _ natch jenseits 32.767; wenn der Zähler wickelt, wird eine Karrierebedingung geschaffen, die den Kernel zur Freigabe von Objekten bringen kann, die noch von anderen Prozessen verwendet werden. Von dort aus nutzt die Explosion auch ein Off-Limit-Schreiben, das Multitast-Mitgliedszähler in Kernelstrukturen modifiziert. Wenn die betroffene Steckdose geschlossen ist, beenden die resultierenden Dekrementoperationen das Lesen oder Überschreiben von Seitentabelleneinträgen, Ich mache eine Benutzerseite aus dem Aufsichtsmodus zugänglich und somit den Hardware-Schutz SMAP und SMEP zu vermeiden. Mit dem Kernel-mapped Speicher im Aufsichtsraum kann die Explosion einen Funktionszeiger überschreiben, der sich in einer Kernelrichtung befindet, die in dieser Maschine vorhersehbar ist und Code mit Kernelprivilegien ausführen kann.

Wichtig: OpenBSD beinhaltet KARL, einen randomization-Mechanismus, der den Kernel binär entlastet, um Funktion und Datenadressen zu randomisieren. Laut dem von Calif zitierten Forscher (Andrew Griffiths) bleiben die Kernel-Speicher-Diversen jedoch deterministisch: Sowohl der Boot als auch der Best-Fit-Assign stellen frühe Strukturen (einschließlich Pointer, die von lo0 und enc0 Interface Controllern verwendet werden) in reproduzierbaren Richtungen in der gleichen Maschine zwischen Neustarts. Diese Vorhersagbarkeit ermöglicht es der Explosion, einen Funktionszeiger anzusprechen, ohne dass eine zusätzliche Sicherheitslücke bei der Offenlegung von Informationen erforderlich ist.

Welche realen Auswirkungen dies haben kann: auf gefährdete Systeme ohne Patches könnte ein Angreifer mit lokalem Zugriff (d.h. in der Lage, Prozesse auf der betroffenen Maschine zu betreiben) Root-Privilegien erwerben. Das ist keine Fernexplosion.: erfordert lokale Ausführung, wie unprivileged Benutzerzugriff oder die Fähigkeit, Prozesse in einem Container oder Sitzung auszuführen. Es wirkt sich daher direkt auf Server oder Stationen aus, in denen nicht zuverlässige Nutzer die Möglichkeit haben, Code-, Multi-User-Umgebungen und -Dienste auszuführen, die Drittprozesse ausführen.

Bestätigung gegenüber geschätzt oder unsicher: Es ist eine Tatsache, dass die Patches veröffentlicht wurden und dass Calif PoC veröffentlichte. Es ist eine vernünftige Schätzung (unterstützt durch die erläuterte Technik), dass die Kette erlaubt, SMAP / SMEP zu verlassen und Wurzel in der beschriebenen Konfiguration zu erhalten; es ist jedoch noch unsicher, ob diese Kette in realen Umgebungen vor der Korrektur ausgenutzt wurde (es gibt keine öffentlichen Beweise). Zum Zeitpunkt der Veröffentlichung gibt es auch keine CVE, die eine gewisse Unsicherheit in der koordinierten Kommunikation zwischen Entdecker und CVE-Koordinatoren hinterlässt.

Spezielle Maßnahmen, die von OpenBSD-Administratoren und -Benutzern jetzt getroffen werden sollen: zuerst, Aktualisierung und Anwendung veröffentlichter errata. OpenBSD hat die Korrekturen durch syspatch verteilt; Administratoren müssen syspatch ausführen und die Systeme neu starten, so dass die Kernelkorrekturen wirksam sind. Die offiziellen Errata-Informationen und das Syspatch-Tool sind auf den OpenBSD-Seiten verfügbar: OpenBSD errata und Mann syspatch. Darüber hinaus, bis die Patches angewendet werden, sollten Manager den lokalen Zugriff einschränken: Limit-Konten mit der Fähigkeit, Prozesse auszuführen, Container und Kompartimente zu straffen und Konfigurationen zu überprüfen, die unprivilegierten Benutzern erlauben, große Mengen an gemeinsamen Speichersegmenten oder Massenprozessen zu erstellen.

Zusätzliche betriebliche Sicherheitsempfehlungen: Integrität und Audit des Systems nach der Aktualisierung (Check-Binaries, Start-up-Aufzeichnungen und anormale Aktivität), Rotation privilegierter Anmeldeinformationen, wenn es einen Verdacht auf Engagement gibt und betrachten Sie die Segregation von Dienstleistungen, die Drittanbieter-Code in dedizierten Hosts akzeptieren, die wieder gestartet und aktualisiert werden können einfacher. Für hochrisikoreiche Umgebungen, begrenzen oder überwachen Sie die Verwendung unzuverlässiger Speicherfreigabe und verwenden Sie zusätzliche Zugriffssteuerungen (z.B. Kontrolllisten auf Anwendungsebene).

Erhärtungsmaßnahmen, die der Entdecker und seine Bewertung vorgeschlagen hat: Calif schlägt vier längerfristige Abschwächungslinien vor: sichere Verlinkung für Listen, die mit dem Kernel verknüpft sind(bereits in FreeBSD und NetBSD verwendet), selbstreferentielle Zuordnung von Seitentabellen, Zufälligkeit des Kernelspeichers und Grenzwertkontrollen pro Compiler. Diese Vorschläge greifen die strukturellen Ursachen der Explosion an: Eine sichere Verlinkung reduziert die Effektivität der Korruption der verlinkten Listen, die Zufälligkeit der selbst-referenziellen Seitentabelle und die Zuordnung macht es schwierig, Richtungen vorherzusagen, und die Überprüfung der Grenzen würde dazu beitragen, aussortierte Schreibfehler oder Gegenüberschreitungen zu erkennen. Sie sind architektonische Lösungen, die Durchführungs- und Validierungsarbeiten erfordern und die Korrektur von bestimmten Fehlern nicht ersetzen, aber sie sind ein eingehender Verteidigungsplan.

Was in den kommenden Wochen zu überwachen: Bestätigung der zugewiesenen CVE (s), zusätzliche OpenBSD-Updates, die die architektonische Minderung verbessern, und Berichte der aktiven Nutzung in der wilden Bühne. Auch die Antwort der OpenBSD-Community auf Califs Härtungsvorschläge und Änderungen in KARL- oder Kernelspeicherzuweisungen sind relevant.

Zusammenfassung: Wenn Sie OpenBSD-Systeme verwalten, wenden Sie die Erratten an und starten. Die veröffentlichte Kette zeigt einen technischen Weg, um Hardware-Schutz zu entkommen und Wurzel aus lokalen Schwachstellen zu erhalten, aber die Korrekturen sind bereits vorhanden und ihre Installation ist die unmittelbare und effektiveste Aktion. Bewahren Sie die lokale Zutrittsreduktion als vorübergehende Maßnahme und stabilisieren Sie längerfristige Verbesserungen am Kern des Systems.