Локальное повышение привилегий в ядрах Linux

Патч как обычно тривиален:
http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=blobdiff;f...

Скорее всего дело было крайне обычным: что-то в попыхах на коленке сделано (с расчетов на причесывание кода в будущем), да потом позабыто.

>в архитектуре Win32/64 подобные плюхи принципиально невозможны

зато там возможны тысячи других, более веселых плюх.

эпично

вроде как уже обсуждалось

Решето.

Вот поэтому решение микроядра выглядит предпочтительней. Другое дело, что все разработки в этом направлении находятся в зачаточном состоянии, пожалуй только minix 3 ожил, после того как Таненбаум получил грант...

> Решето

присоединяйся к 391051109:

http://vladimir.russkiy-uchitel.ru/?module=articles&c=news&b=1&a=31

:)))))))

он считает так же ))))

ох неты!!1 в какую версию войдет патч?

Эксплоит выдал "segmentation error" :D

Эксплоит.
http://www.securityfocus.com/bid/36038/exploit

У меня уже Ksplice Uptrack в Ubuntu выдал алярм по этому поводу и рантайм-патч наложился.

>> Решето >присоединяйся к 391051109: >http://vladimir.russkiy-uchitel.ru/?module=articles&c=news&b=1&a=31

бля чуть не помер со смеху :D

>сама возможность подобного лихого обращения с нулевыми указателями в современной ОС вызывает некоторое недоумение - к примеру, в архитектуре Win32/64 подобные плюхи принципиально невозможны

А чего тут удивительного? Ведь в лохматых 2000 годах код ядра писали всякие красноглазые уроды. Сколько еще открытий чудных нас ожидает в будущем?

а чувак вполне серьёзно! Он там ещё в другом посте о китайских хакерах и ФСБ писал... ТОже стоит почитать )))))))

а ссылка на эксплоет ?

а комменты читать?

http://www.linux.org.ru/jump-message.jsp?msgid=3958582&cid=3959039

сайт у тебя зачетный

Ниработает:'(
просит pulseaudio поставить 
генту отстой - даж сплоиты не работают!

да сайт-то ерунда... Но надо ж было куда-то выложить это... народ просил полный хистори спеца по комп безопасности и прочему... )))) Я только от него узнал, что есть такие - китакйские хакеры. И ещё разные вещи впервые услышал именно от него. Альтернативное мышление, расширение сознания, сферические кони и всё такое...

мир пересобери! ))

> Замечу, что сама возможность подобного лихого обращения с нулевыми указателями в современной ОС вызывает некоторое недоумение - к примеру, в архитектуре Win32/64 подобные плюхи принципиально невозможны по причине блокировке любого доступа к адресам с 0x0 по 0xFFFF (0xFFF в случае Win'9x).

эээ... исключения при обращении к диапазонам адресов происходят если MMU настроен соответствующим образом (не "замаплен"?). _обычно_ большой участок от 0x0 до непомню скольки именно так и помечается. да, это делается большинством ОС, специально для упрощения отлова распространённых ошибок. Win9x тут совершенно ни при чем.

А чем этот мир плох?

> А чем этот мир плох?

ну, можно было бы с -wars -gays +ecology поэкспериментировать :)

> Ubuntu

у тя ж всегда Gentoo было?!

Это даст дополнительный козырь вендотроллям... И попробуй потом убеди их в том, что это уже исправлено!

у тебя просто мега нервы, мен. бывают же такие дрочеры... в след. раз посылай его сразу, как только стучится :)

У меня тоже не работает -- пульсаудио нет.

Интересно, почему уже второй баг в ведре эксплуатируют с помощью pulseaudio? Может проблема и не в ведре-то вовсе? :)

>Это даст дополнительный козырь вендотроллям... И попробуй потом убеди их в том, что это уже исправлено!

зачем? кого-то в чем-то убеждать... пускай тусуются на стороне. главное что мне(тебе) удобно и безопасно. а на виндотролей плевать.

не могу ))) он вчера узнал, что он звезда, и что над ним смеются. Пообежался с час, а потом пишет - прости, мол, день такой выдался. ПРедлагаю просто не писать друг другу по ерунде и остаться друзьями ))

Ппц.. так что продолжение следует ))) когда всё забудется ))

> http://vladimir.russkiy-uchitel.ru/?module=articles&c=news&b=1&a=31

за такие ссылки надо убивать...
/me порвался со смеха)))))))

еле откачали

вот именно. А кто уверен ещё, что вендотроллей надо убеждать, ссылка выше )) там и аська, и телефон его есть... можно мило поболтать, рассказать, что Линукс не дыряв...

Просто, если люди не соображают в принципе, то и убеждать их...

>http://vladimir.russkiy-uchitel.ru/?module=articles&c=news&b=1&a=31

Ржали всем офисом :)

> Что и приводит к возможности внедрения кода, выполняющегося с правами ядра - достаточно положить его в нулевую страницу памяти.

Не понял... Осталось только понять, как положить что-то в нулевую страницу ядру. И какую дополнительную пользу при такой возможности даёт сабжевая дырка.

> почему уже второй баг в ведре эксплуатируют с помощью pulseaudio? Может проблема и не в ведре-то вовсе?

Проблема — в особенностях построения системы, которые в обычных условиях не позволяют „за просто так“ поэксплуатировать даже критические баги. Вот и приходится создавать костыли наподобие pulseaudio, специально для подкормки оффтопикотроллей.

> Осталось только понять, как положить что-то в нулевую страницу ядру

С патчем - к счастью, уже никак.

Во-первых, КАК что-то в указанную "нулевую страницу" положить? Тем более, что в "нулевой странице" должен быть как минимум кусок биоса, за неизменностью которого следит ведро, опции:
X86_CHECK_BIOS_CORRUPTION [=y]
X86_BOOTPARAM_MEMORY_CORRUPTION_CHECK [=y]
X86_RESERVE_LOW_64K [=y]

Во-вторых... Вы хоть в собирающий скрипт заглядывали? Код собирается с опцией "-fno-stack-protector".

В-третьих...

r00t@r00t:/$ uname -a
Linux r00t 2.6.29.6madebyR00T #1 SMP Mon Jul 20 12:07:12 MSD 2009 i686 Intel(R) Core(TM)2 Duo CPU T7700 @ 2.40GHz GenuineIntel GNU/Linux
r00t@r00t:/$ cat /etc/slackware-version
Slackware 12.2.0
r00t@r00t:/$

Ведро самосборное.

под юзером:

r00t@r00t:/tmp/wunderbar_emporium$ ./exploit
[+] MAPPED ZERO PAGE!
[+] Resolved commit_creds to 0xc024d230
[+] Resolved prepare_kernel_cred to 0xc024d130
unable to find a vulnerable domain, sorry
r00t@r00t:/tmp/wunderbar_emporium$

и даже под рутом.
root@r00t:/tmp/wunderbar_emporium# ./exploit
[+] MAPPED ZERO PAGE!
[+] Resolved commit_creds to 0xc024d230
[+] Resolved prepare_kernel_cred to 0xc024d130
unable to find a vulnerable domain, sorry
root@r00t:/tmp/wunderbar_emporium#

Вывод: не стоит выеденного яйца.

>пожалуй только minix 3 ожил, после того как Таненбаум получил грант...

Ну не только. Смотри L4 (OkL4)

>> Осталось только понять, как положить что-то в нулевую страницу ядру

> С патчем - к счастью, уже никак.

Патч исправляет не это, а возможность запуска кода с нулевого адреса. То есть типа положить туда что-то всё ещё можно. Прошёл по ссылкам (каюсь), но не нашёл объяснений. Суть бага проста и понятна, но чтоб с его помощью можно было сделать пакость - не вижу такого.

На x86 там лежит таблица прерываний реального режима. В принципе, ничего хорошего от передачи управления туда ожидать не стоит, но это всё же далеко до выполнения своего кода пользовательским процессом.

"... Recent kernels with mmap_min_addr support may prevent exploitation if
the sysctl vm.mmap_min_addr is set above zero. However, administrators
should be aware that LSM based mandatory access control systems, such
as SELinux, may alter this functionality.

It should also be noted that all kernels up to 2.6.30.2 are vulnerable to
published attacks against mmap_min_addr. ..."

( http://permalink.gmane.org/gmane.comp.security.full-disclosure/68951 )

$ sysctl vm.mmap_min_addr
vm.mmap_min_addr = 65536

$ uname -r
2.6.30.4

>Замечу, что сама возможность подобного лихого обращения с нулевыми указателями в современной ОС вызывает некоторое недоумение - к примеру, в архитектуре Win32/64 подобные плюхи принципиально невозможны по причине блокировке любого доступа к адресам с 0x0 по 0xFFFF (0xFFF в случае Win'9x).

АЙ КАК ТОЛСТО!

PS Обьясните несепциалисту в ядре linux действительно ли мапится нулевой адрес? И если да то как Линус коментирует такой баг "by disign"?

> у тя ж всегда Gentoo было?!

И сейчас Генту. Бубунта - на работе.

r00t@r00t:~$ sysctl vm.mmap_min_addr
error: "vm.mmap_min_addr" is an unknown key
r00t@r00t:~$

Ы? :)

exploit.c: Assembler messages:
exploit.c:116: Error: Incorrect register `%rdx' used with `l' suffix

amd64?

>http://vladimir.russkiy-uchitel.ru/?module=articles&c=news&b=1&a=31

Ржали всем аулом )))))))))
Кстати чуваг что-то на троллинг не ведётся....

> Кстати чуваг что-то на троллинг не ведётся....

Ну молодец, что не ведётся...

>Если точнее, затрагивает все ядра 2.4 и 2.6, восходя аж к 2001 году

Решето

>в архитектуре Win32/64 подобные плюхи принципиально невозможны

Перехожу на винду ;)

> exploit.c: Assembler messages: > exploit.c:116: Error: Incorrect register `%rdx' used with `l' suffix

> amd64?

Да, у меня то же самое.

Как его собрать под x86_64?

>./wunderbar_emporium.sh mv: невозможно выполнить stat для `pwnkrnel.c': Нет такого файла или каталога pulseaudio: no process killed [+] MAPPED ZERO PAGE! [+] Resolved security_ops to 0xc07bb160 [+] Resolved sel_read_enforce to 0xc04c7a8f unable to find a vulnerable domain, sorry [+] MAPPED ZERO PAGE! [+] Resolved security_ops to 0xc07bb160 [+] Resolved sel_read_enforce to 0xc04c7a8f unable to find a vulnerable domain, sorry mv: невозможно выполнить stat для `pwnkernel2.c': Нет такого файла или каталога rm: невозможно удалить `pwnkernel1.c': Нет такого файла или каталога

У меня не работает чего-то... :( (CentOS-5.5)

# sysctl vm.mmap_min_addr
vm.mmap_min_addr = 65536
# uname -r
2.6.27.24-170.2.68.fc10.x86_64

# sysctl vm.mmap_min_addr
vm.mmap_min_addr = 65536
# uname -r
2.6.18-155.el5

$ sysctl vm.mmap_min_addr
vm.mmap_min_addr = 32768
$ uname -r
2.6.29.6-217.2.3.fc11.i586

Что, только редхат в курсе про защиту нулевой страницы?