Vier Sicherheitsausfälle im Linux-Kernel ermöglichen es, auf Wurzel zu klettern; Patches bereits in Zweigen

Ein Sicherheitsforscher hat den Funktions-Betriebscode für vier Sicherheitsausfälle im Linux-Kernel veröffentlicht, mit denen ein lokaler Benutzer Root-Privilegien erreichen kann. Die vier Fehler - mit informellen Namen des Autors: DirtyAH6, TUNderflow, PPPoEject und DiagSpill- wurden Mitte Juli an das Sicherheitsteam des Kernels gemeldet und die entsprechenden Patches wurden in den folgenden Wochen in stabile Versionen des Kernels integriert und veröffentlicht. Der Forscher veröffentlichte seine technische Analyse und nutzte am 18. September nach einer Koordinierung mit Distributionen, um sicherzustellen, dass die Vereinbarungen vor der Offenlegung der Öffentlichkeit verbreitet wurden.

Konfirmierte Fakten: Die Explosion ist öffentlich verfügbar und die Patches existieren bereits in den stabilen Zweigen des Kernels. Führen Sie einen aktualisierten Kernel aus, der alle Korrekturen enthält, blockiert diese Angriffswege; stabile Versionen, die den vollständigen Satz von Korrekturen enthalten, werden in den Haupt-Kernel-Projektanzeigen angezeigt ( http://www.kernel/) Der Autor dokumentiert, dass sein Betriebscode auf Betonkernbau abgestimmt ist, Blockaden verursachen und in isolierten Systemen zur Analyse entwickelt wurde.

Technisch teilen die vier Fehler eine Wurzel: sie sind Sicherheitsfehler im Speichermanagement innerhalb des Kernel-Netzwerk-Subsystems. Jede Verwundbarkeit erlaubt es, interne Kernelstrukturen zu korrumpieren - d.h. aus einem Puffer zu schreiben, bereits freigegebenen Speicher wiederzuverwenden oder Überläufe durch Zähler zu verursachen - und somit den Ausführungsfluss zu Skalenprivilegien zu manipulieren. Konkret: Dirty AH6 ist ein Off-Limit-Zugriff im IPsec-Code für den IPv6-Authentifizierungs-Header; TUNderflow nutzt eine Fehlberechnung von Größen auf den TUN / TAP virtuellen Geräten, die Daten außerhalb des Puffers beenden können; PPPo Eject ist ein uso-de-memoria-released (use-after-free) in PPPoE; und DiagSpill kopiert eine Liste von Endpunkten über die reservierte Größe, wenn ein 16-Bit-Zähler überläuft.

Wer beeinflusst das? Hauptsächlich für Systeme, die keine Kernel-Updates angewendet haben und auf Szenarien, in denen ein Angreifer bereits eingeschränkten Zugriff auf das System hat (z.B. ein nichtprivilegiertes Benutzerkonto auf einem Multi-User-Server, ein Prozess innerhalb eines Containers oder eine Remote-Sitzung mit geringen Berechtigungen). Drei der Schwachstellen benötigen relevante Netzanrufe, um von einem Prozess ohne Privilegien zugänglich zu sein, und das hängt oft von der Verfügbarkeit derBenutzernamespacesKeine Privilegien. Die Benutzernamenspaces erlauben es unprivilegierten Benutzern, eine ID-Root in einem isolierten Namensraum zu erhalten; viele Distributionen ermöglichen sie standardmäßig und erleichtern es einem gewöhnlichen Prozess, Netzwerkfunktionen zu manipulieren, die für einige der Exploits notwendig sind. DiagSpill ist die Ausnahme: Es erfordert keine Benutzernamenspaces, aber es erfordert das Vorhandensein des im System aktivierten SCTP-Netzwerkmoduls.

Praktische Konsequenzen: Wenn ein lokaler Angreifer einen dieser Fehler ausnutzt, kann er eine Schale mit Root-Privilegien erhalten und damit eine vollständige Kontrolle des Systems. Dies macht eingeschränkten Zugriff auf die vollständige Kontrolle, mit den offensichtlichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Obwohl der Autor behauptet, bis zur Veröffentlichung keine Verwendung bei tatsächlichen Angriffen zu beobachten, erhöht die öffentliche Verfügbarkeit der Explosion das Risiko bei geteilten oder veralteten Systemen. Es sei auch darauf hingewiesen, dass die öffentliche Explosion Blöcke produzieren und an bestimmte Gebäude angepasst ist; eine zuverlässige Ausbeutungskette gegen ein willkürliches System zu extrahieren kann mehr Arbeit erfordern (z.B. "mold" the Memory of the Target), aber es ist nicht unmöglich, Umgebungen zu ermöglichen.

Geschätzte Informationen und unsichere Bereiche: der Forscher dokumentiert, dass einige Fernrouten theoretisch oder extrem schwierig sind. Zum Beispiel könnte DirtyAH6 in Hosts, die als IPv6-Router mit IPsec im Transportmodus fungieren, eine Fernsperre verursachen und mit fortschrittlichen Speicherformtechniken nur unter kontrollierten Bedingungen in seinem Labor entfernte Privilegien erreichten. Für DiagSpill weist der Autor darauf hin, dass er keinen praktischen Weg zur entfernten Wurzel auch mit perfekter Gedächtnisform gesehen hat. Diese Punkte sind als Schätzungen auf der Grundlage von Labortests, nicht als fernbedienende Bestätigungen im Feld.

Was ein Administrator oder Benutzer jetzt tun sollte. Grating ist die wichtigste und empfohlene Maßnahme: Aktualisieren Sie den Kernel auf eine Version, die alle vom Kernel-Projekt veröffentlichten Korrekturen enthält oder, besser noch, die von seiner Distribution bereitgestellten Sicherheitspakete anwendet. Überprüfen Sie den Sicherheitshinweis Ihrer Distribution (Debian, Ubuntu, Red Hat, SUSE, etc.), da diese Organisationen Patches in ihre eigenen Versionsnummern und Publikationspläne integrieren; stellen Sie sicher, dass das verteilte Update die vollständigen Korrekturen enthält, nicht nur die wichtigsten Zweignummern entspricht.

Wenn Sie nicht sofort parken können, gibt es eine vorübergehende Minderung, die das Risiko reduziert: Namespace-Nutzer ohne Privilegien deaktivieren und / oder die betroffenen Netzwerkmodule und Eigenschaften verbieten. Für Benutzernamespaces ist eine praktische Aktion (Syntax in Ihrem System und Verteilung überprüfen) sie mit sysctl zu deaktivieren, zum Beispiel: sysctl -w kernel. Unprivilegiert _ Benutzer _ clone = 0 oder bleiben in / etc / sysctl.conf. Dies schließt unprivilegierten Zugang zu DirtyAH6, TUNderflow und PPPoEject, aber Nein. schützt vor DiagSpill und hilft nicht Prozessen, die bereits Netzwerkprivilegien haben (z.B. privilegierte Container).

Eine weitere vorübergehende Minderung besteht darin, das Laden oder die Nutzung verwandter Module zu verhindern: Wenn Sie AH / IPv6, TUN / TAP, PPPoE oder SCTP nicht benötigen, entfernen oder blockieren (z.B. mit modprobe -r oder fügen Sie sie zu / etc / modson.d / blacklist). Die Routen zum Kernel können jedoch mehrfach sein, und der Forscher selbst empfiehlt, zu parken, anstatt sich nur auf das Abklingen von Eigenschaften zu verlassen, weil andere Oberflächen die gleichen Fehler aussetzen können.

Parallel zu Patches und Minderungen, Kontrollprotokollen und Konfigurationen: Überprüfen Sie den aktuellen lokalen Zugriff, die Verwendung von exponierten Containern und Netzwerk-Diensten, die es einem nichtprivilegierten Benutzer ermöglichen, mit den beteiligten Routinen zu interagieren. Um die Beziehung zwischen Benutzernamen und Privilegien besser zu verstehen, bietet die offizielle Kerneldokumentation Kontext für ihr Verhalten und Konfiguration: https: / / www.kernel / doc / html / aktuell / admin-guide / user-namspaces.html.

Kontext und Trends: Der Autor weist darauf hin, dass er diese Fehler anhand einer Methode identifiziert, die von künstlichen Intelligenz-Tools unterstützt wurde, die die Verwaltung des Speichers und die Begründung seiner Anordnung in der Zeit der Ausführung, die Intervention von "AI" hilft bereits in den Korrekturverpflichtungen zugeschrieben. Dieser Fall ist Teil einer kürzlichen Reihe von Linux-Privileg-Schritten, die mit der Unterstützung von fortschrittlichen Analyse-Modellen und -Tools erkannt werden. Diese technische Entwicklung ändert nicht die praktische Gegenmaßnahme: Die Aufrechterhaltung der aufgebrachten Patches und die Verringerung der freiliegenden Oberfläche bleibt die zuverlässigste Verteidigung.

Zusammenfassung: aktualisieren Sie Ihren Kernel auf die korrigierte Version verteilt durch seine Verteilung so schnell wie möglich. Wenn Sie nicht sofort aktualisieren können, deaktivieren Sie Namespaces ohne Privilegien und verhindern, wenn möglich, die Nutzung der betroffenen Netzwerkmodule. Überprüfen Sie Sicherheitsfreigaben von Ihrem Distributionsanbieter, planen Sie kontrollierte Neustart und behandeln Sie diese öffentlichen Exploits als echte Bedrohung für Multi-User-Systeme und Container, bis die Patches installiert sind.