Интересная уязвимость в ядре Linux

Очень хорошо написанная новость. +1

Интересно

То есть что, поскольку в нулевом кольце мы не получим SIGBUS первая конструкция загружает в sk какой-то мусор, а вторая вырезается, т.к tun разыменован и по мнению компилятор он заведомо != NULL?

> Специфика этой уязвимости состоит в том, что уязвимость отсутствует в исходном коде

Ну всеже автор кривит душой. tun->sk есть разименование указателя.

Автор эксплойта дебил. Как и подпевалы. Он нашел уязвимость tun-драйвера, которой можно воспользоваться через pulseaudio

уфф, не страшно, т.к. на серваках Pulseaudio никогда не будет (убунто^Wгусары молчать!)

>ля успешной работы данного сплойта необходимо наличие на машине PulseAudio и подгруженного модуля tun.

Ага. И прокричать в микрофон "Kernel Panic" голосом Балмера.

дааа.... выражение соснуть tunца приобретает новый, неожиданный смысл...

Епт, товарищи!!!! У кого все-таки оно работает???

Решето! :) ???

>собирать с опцией -DRHEL5_SUCKS

Мне одному кажется, что это толстый троллинг?

-DRHEL5_SUCKS

ЛОЛ :-D

согласен, внятно и без смеси французского с нижегородским

> То есть что, поскольку в нулевом кольце мы не получим SIGBUS первая конструкция загружает в sk какой-то мусор, а вторая вырезается, т.к tun разыменован и по мнению компилятор он заведомо != NULL?

мм, в Ring0 MMU вызовет исключение CPU при обращении к незамапленному региону адресного пространства

>> -DRHEL5_SUCKS

Т.к. /me не параноик, то из всей новости доставляет только этот флаг :)

Наверное специально для ядра надо в gcc встроить опцию -OneVyiobyvaysya

А сабжевый код крив - надо бы поправить.

код - гавно, ампутировать руки автору

пульсоснули тунца, как говорится.

> struct sock *sk = tun->sk;
> Этот код не вызывает ошибок даже если tun == NULL, и не является сам по себе уязвимостью.

А кто-нибудь может объяснить, почему разыменование нулевого указателя больше не является ошибкой?

Как я понимаю, в ring0 не происходит нарушения защиты.

1) -fno-delete-null-pointer-checks (это если внимательно прочитать http://www.grsecurity.net/%7Espender/exploit.txt )

2)
> struct sock *sk = tun->sk;
> Этот код не вызывает ошибок даже если tun == NULL, и не является сам по
> себе уязвимостью.

Этот код вызывал ошибку, почему, собственно, и был пофиксен: http://lkml.org/lkml/2009/7/6/19 (это, опять же, если внимательно читать).

Сейчас набегут оруны „c/c++ - *$&#@!”

>Сейчас набегут оруны „c/c++ - *$&#@!”

*$&#@! - это кривые руки. Обычно у подобных кодеров они растут из задницы, потому руки *$&#@!.

>Сейчас набегут оруны „c/c++ - *$&#@!”

Еще про микроядро можно поорать, типа надо засунуть все драйвера в юзерспейс.

что делать без pulseaudio? жажду проверить :)

>Еще про микроядро можно поорать, типа надо засунуть все драйвера в юзерспейс.

+много

Мандрива вот только что выпустила уже патчи: на все пульсы и на утилиты пульс аудио и билиотеки. Какие дистрибутивы тоже выпустили патчи?

> Как я понимаю, в ring0 не происходит нарушения защиты.

Еще как происходит. Откуда иначе брать Kernel Panic? :)

>> Как я понимаю, в ring0 не происходит нарушения защиты.

>Еще как происходит. Откуда иначе брать Kernel Panic? :)

Да, признаю. Только за нарушением защиты иногда следует только oops.
А panic брать из любого места вызовом соотв. функции.

уж0с, как жышно страть.

Очень криво написанный код. Должно быть:

struct sock *sk;

if (!tun) return POLLERR;

sk = tun->sk;

B Ubuntu патч на pulseaudio уже есть, часа 2 назад

> А panic брать из любого места вызовом соотв. функции.

Oops тоже - конструкцией *(0) :) Но в приницпе да, Panic может быть вызван и другими причинами - на то в конце смайлик и стоит.

хех, когда уж ядро перепишут на яве?

Когда в биос JVM встроят.

Не зарекайся. Ты что, не слышал про яву-на-чипе?

Это на мой взгляд баг(уязвимость) GCC. Нее?

Не, в данном случае проблема ядра (код некорректный). А умность gcc уже давно создает проблемы ядру.

В данном случае проблему ядру создал не в меру умный программист. Ну вот кто ему мешал написать так, как показал sergeil (см. комментарии выше)?

> Ну вот кто ему мешал написать так, как показал sergeil (см. комментарии выше)?

http://lkml.org/lkml/2009/7/6/19 :)

>>собирать с опцией -DRHEL5_SUCKS
>Мне одному кажется, что это толстый троллинг?

Автор сплойта просто пошутил, а я оценил его шутку.

З.Ы. На рабочих серваках используем центос, в.т.ч 5, в качестве dom0. Имхо, неплохая система. Конкретно с RHEL уже давно не работал, но ничего против него не имею.

Pulseaudio RIP

Люопытно: в ISO/IEC 9899 TC2 говорится об udefined behavoiur при применении к invalid value (в частности, к null pointer) оператора "*" (сноска в разделе 6.5.3.2), но ничего подобного не сказано про применение к invalid value оператора "->" (раздел 6.5.2.3). Или я что-то проглядел, или в стандарте бага (очевидно, что в реальной жизни применение -> к невалидным указателям ни к чему хорошему приводить не должно). И пока стандарт таков, с формальной точки зрения gcc не может в своих оптимизациях полагаться на валидность указателя после первой же "->". Это баг gcc.

Мораль: любовь к низкоуровневым трюкам ни чем хорошим не заканчивается.

Автор эксплойта - рак!

строка 797:
fprintf(stdout, "           ,        ,\n");
fprintf(stdout, "          /(_,    ,_)\\\n");
fprintf(stdout, "          \\ _/    \\_ /\n");
fprintf(stdout, "          //        \\\\\n");
fprintf(stdout, "          \\\\ (@)(@) //\n");
fprintf(stdout, "           \\'=\"==\"='/\n");
fprintf(stdout, "       ,===/        \\===,\n");
fprintf(stdout, "      \",===\\        /===,\"\n");
fprintf(stdout, "      \" ,==='------'===, \"\n");
fprintf(stdout, "       \"                \"\n");

на генту тоже выпустили обновление.

struct sock
{
};

struct tun
{  
   struct sock *sk;
};

int z;

int func(struct tun *tun)
{  
   struct sock *sk = tun->sk;

   if (!tun)
     return 2;

   z = 5;

   return 1;
}

/* С каким опциями надо собирать, чтобы увидеть описанную оптимизацию?
 */

> Или я что-то проглядел, или в стандарте бага (очевидно, что в реальной жизни применение -> к невалидным указателям ни к чему хорошему приводить не должно).

советую поразмыслить на досуге над подобным кодом: &(((type*)0)->value)

Это само собой. И для оператора * аналогичный случай подробно разбирается, всё в той же сноске.

#include <stdio.h>

struct sock
{
};

struct vuln
{
  struct sock *a;
};

int main(int argc, char *argv[])
{
  struct vuln *a = 0;
  struct sock *z = a->a;

  return 0;
}

$gcc test.c -Wall -o test
$./test
Ошибка сегментирования

правда это из userspace

Пульсы у мну нет - бояться нечего.

Насчёт tun не уверен - но вроде бы тоже такого нету.