Обнаружена очередная local root уязвимость в ядре Linux 3.8

0

2

В рассылке OSS-security появился тривиальный эксплоит для ядра 3.8, который посредством использования вызова clone() с параметрами CLONE_NEWUSER|CLONE_FS позволяет непривилегированному пользователю получить права суперпользователя.

Эксплоит работает только в том случае, если в ядре встроена поддержка namespaces, а также у пользователя есть права на запись в корневую файловую систему (в большом количестве систем корень и домашний раздел находятся на одном и том же разделе).

Для запуска эксплоита в 32-битном окружении, поменяйте все вхождения lib64 на lib, а ld-linux-x86-64.so.2 на ld-linux.so.2.

>>> Подробности

Ссылка

←	PhpStorm 6.0

Официальный анонс Qt 5.1 для Android

→

← 1 2 3 4 5 6 7 8 9 10 →

корень и домашний раздел находятся на одном и том же разделе => у пользователя есть права на запись в корневую файловую систему

где тут причинно-следственная связь? что за чушь?

punya ★★
(14.03.13 12:17:21 MSK)
Последнее исправление: punya 14.03.13 12:17:50 MSK (всего исправлений: 2)

Ответ на: комментарий от punya 14.03.13 12:17:21 MSK

связь прямая, юзер может писать в тот же раздел, где лежит корень

Harald ★★★★★
(14.03.13 12:18:44 MSK)

Ответ на: комментарий от punya 14.03.13 12:17:21 MSK

где тут причинно-следственная связь?

ну ты в HOME писать можешь? У тебя HOME в корне? Вешайся.

У меня ессно не в корне, а корень - отдельная ФС, куда юзеру писать нельзя.

~~drBatty~~ ★★
(14.03.13 12:19:18 MSK)

решето :)

пошел собирать ведро 3.8 чтоб потестить

если в ядре встроена поддержка namespaces

где она включается?

Harald ★★★★★
(14.03.13 12:21:13 MSK)

Ссылка

Ответ на: комментарий от drBatty 14.03.13 12:19:18 MSK

я могу писать в HOME потому что у меня есть права на запись

punya ★★
(14.03.13 12:22:29 MSK)

А ведь багфикс не будет перенесен в LTS-ядра!!!11

tailgunner ★★★★★
(14.03.13 12:24:10 MSK)

Ответ на: комментарий от Harald 14.03.13 12:18:44 MSK

mkdir fit
chmod 0000 fit
touch fit/test
touch: cannot touch ‘fit/test’: Permission denied

punya ★★
(14.03.13 12:24:52 MSK)

Ответ на: комментарий от punya 14.03.13 12:24:52 MSK

И что ты хотел этим сказать?

tailgunner ★★★★★
(14.03.13 12:27:10 MSK)

Ссылка

Ответ на: комментарий от drBatty 14.03.13 12:19:18 MSK

а /tmp у тебя где?

anonymous
(14.03.13 12:27:14 MSK)

Ответ на: комментарий от punya 14.03.13 12:22:29 MSK

я могу писать в HOME потому что у меня есть права на запись

а на каком разделе лежит твой HOME?

~~drBatty~~ ★★
(14.03.13 12:35:34 MSK)

Зачем говорить 'очередная'? Фу таким быть.

quowah ★
(14.03.13 12:36:56 MSK)

Ссылка

https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=e6...

И эти люди кроют других матом за сломанный юзерспейс %)

tailgunner ★★★★★
(14.03.13 12:37:36 MSK)

Ссылка

Ответ на: комментарий от anonymous 14.03.13 12:27:14 MSK

а /tmp у тебя где?

/dev/sda1        /                ext4        user_xattr,discard 1   1
/dev/sda5        /var             ext4        discard            1   2
/dev/sda6        /usr             ext4        ro,discard         1   2
/dev/sda7        /home            ext4        discard            1   2

tmpfs            /tmp             tmpfs       size=2G            0   0

ещё вопросы?

~~drBatty~~ ★★
(14.03.13 12:37:49 MSK)

~ # cat /boot/config-3.8.2-geek | grepi namesp

CONFIG_NAMESPACES=y

oops!

~~science~~ ★★☆
(14.03.13 12:39:53 MSK)

brain@brain-ThinkPad-X230:~/Загрузки$ ./a.out 
[**] clown-newuser -- CLONE_NEWUSER local root (C) 2013 Sebastian Krahmer

[+] Found myself: '/home/brain/Загрузки/a.out'
[*] Parent waiting for boomsh to appear ...
[*] Setting up chroot ...
[-] link: Operation not permitted

судя по всему не работает в

brain@brain-ThinkPad-X230:~/Загрузки$ cat /proc/version 
Linux version 3.2.0-4-amd64 (debian-kernel@lists.debian.org) (gcc version 4.6.3 (Debian 4.6.3-15) ) #1 SMP Debian 3.2.39-2

i_gnatenko_brain ★★★★
(14.03.13 12:41:13 MSK)

Ответ на: комментарий от i_gnatenko_brain 14.03.13 12:41:13 MSK

у тебя слишком древнее ядро для этого эксплойта, обновись

Harald ★★★★★
(14.03.13 12:44:20 MSK)

Для запуска эксплоита в 32-битном окружении, поменяйте все вхождения lib64 на lib, а ld-linux-x86-64.so.2 на ld-linux.so.2.

Для заражения вашего ПК вирусом соберите его требуемым компилятором, дайте права на запуск, запустите.

P.S. То же мне дыра!

ivanlex ★★★★★
(14.03.13 12:45:09 MSK)

Ответ на: комментарий от science 14.03.13 12:39:53 MSK

~ # cat /boot/config-3.8.2-geek | grepi namesp
CONFIG_NAMESPACES=y

Всё то же самое, создал /exploit в корневой fs, всё-равно валится на

[-] link: Operation not permitted

backbone ★★★★★
(14.03.13 12:47:03 MSK)

Ответ на: комментарий от Harald 14.03.13 12:44:20 MSK

http://www.fpaste.org/SYyj/
в 18 федоре не работает :)

Linux version 3.8.2-206.fc18.x86_64 (mockbuild@bkernel02) (gcc version 4.7.2 20121109 (Red Hat 4.7.2-8) (GCC) ) #1 SMP Fri Mar 8 15:03:34 UTC 2013

i_gnatenko_brain ★★★★
(14.03.13 12:47:50 MSK)
Последнее исправление: i_gnatenko_brain 14.03.13 12:49:13 MSK (всего исправлений: 1)

Ответ на: комментарий от backbone 14.03.13 12:47:03 MSK

А с какого фига вы обычным пользователем можете в корне создавать файлы? Код экплоита вообще читали? Может он rm -rf /* выполняет.

Для крайне тупых: если у вас /home - отдельный раздел, то

$ sudo mkdir /1
$ sudo chown my_username /1
$ cp clown-newuser.c /1
$ cd /1
$ gcc -Wall clown-newuser.c -static
$ ./a.out
$ id
uid=0(root)

// b.

anonymous
(14.03.13 12:51:44 MSK)

Ответ на: комментарий от i_gnatenko_brain 14.03.13 12:47:50 MSK

Ещё один умник - в новости для особо одарённых написано как оно должно работать - нет, всё равно на разных разделах пытаются творить.

Попробуйте из /var/tmp запустить ради интереса - в Fedora /var обычно = /.

// b.

anonymous
(14.03.13 12:53:47 MSK)

Ответ на: комментарий от anonymous 14.03.13 12:51:44 MSK

А с какого фига вы обычным пользователем можете в корне создавать файлы?

От root зашёл, т.к. /home на отдельном разделе.

Всё так и делал, только крайне тупой не додумается. :)

backbone ★★★★★
(14.03.13 12:53:54 MSK)

Ссылка

Ответ на: комментарий от backbone 14.03.13 12:47:03 MSK

I sure hope any distro shipping modern kernels is shipping with these sysctl settings:
fs.protected_symlinks=1
fs.protected_hardlinks=1

Видимо, у тебя так.

tailgunner ★★★★★
(14.03.13 12:54:00 MSK)

Ответ на: комментарий от anonymous 14.03.13 12:53:47 MSK

на каких разных ? у меня 1 раздел в ext4 под /. остальное swap.

i_gnatenko_brain ★★★★
(14.03.13 12:55:13 MSK)

Ссылка

Ответ на: комментарий от tailgunner 14.03.13 12:54:00 MSK

Сделал

fs.protected_symlinks=0
fs.protected_hardlinks=0

валится на

[-] clone: Invalid argument

backbone ★★★★★
(14.03.13 12:58:22 MSK)

Ответ на: комментарий от ivanlex 14.03.13 12:45:09 MSK

если ты не знаешь, для чего нужны локал рут эксплойты, то лучше помолчи и не позорься

~~xtraeft~~ ★★☆☆
(14.03.13 13:00:47 MSK)

Ответ на: комментарий от punya 14.03.13 12:17:21 MSK

где тут причинно-следственная связь? что за чушь?

Речь не про корневой каталог (ясен пень, его обычный юзер менять не может), а про весь раздел, где он находится.

AX ★★★★★
(14.03.13 13:04:59 MSK)

Ответ на: комментарий от backbone 14.03.13 12:58:22 MSK

валится на

[-] clone: Invalid argument

У тебя не сконфигурирован конкретный флаг clone. Или ядро старое %)

tailgunner ★★★★★
(14.03.13 13:06:58 MSK)

Ответ на: комментарий от tailgunner 14.03.13 13:06:58 MSK

Или ядро старое %)

Linux nickolay-842 3.8.2-geek #1 ZEN SMP PREEMPT Mon Mar 11 11:27:44 MSK 2013 x86_64 Intel(R) Core(TM)2 Duo CPU E7400 @ 2.80GHz GenuineIntel GNU/Linux

У тебя не сконфигурирован конкретный флаг clone.

Полагаете, надо с 3-им аргументом в clone () «поиграться»?

backbone ★★★★★
(14.03.13 13:09:29 MSK)

Ответ на: комментарий от drBatty 14.03.13 12:35:34 MSK

у меня на отдельном разделе. не могу проверить :P

punya ★★
(14.03.13 13:15:03 MSK)

Виснет на [-] link: File exists
Ядро 3.8.2-gentoo

riki ★★★★
(14.03.13 13:15:27 MSK)

Ответ на: комментарий от backbone 14.03.13 13:09:29 MSK

Я полагаю, что эксплойт написан для ванильного ядра, а что там в вашем geek - ХЗ; может, один из его патчей спасает (может, в него даже включен фикс этой проблемы - он дает такой же код возврата).

Попробуй просто clone с CLONE_NEWUSER|CLONE_FS.

tailgunner ★★★★★
(14.03.13 13:15:47 MSK)

Ответ на: комментарий от AX 14.03.13 13:04:59 MSK

а блин тогда ясно

punya ★★
(14.03.13 13:16:21 MSK)

Ссылка

Ответ на: комментарий от riki 14.03.13 13:15:27 MSK

Виснет на [-] link: File exists

rm -rf chroot?

backbone ★★★★★
(14.03.13 13:17:56 MSK)

Ответ на: комментарий от anonymous 14.03.13 12:27:14 MSK

Подозреваю, что как у всех нормальных людей на отдельном разделе.

Собственно, у меня так же. Отдельно корень, /tmp, /var, /home, /usr, /boot, на некоторых машинах ещё /opt.

shell-script ★★★★★
(14.03.13 13:18:46 MSK)

Ответ на: комментарий от tailgunner 14.03.13 13:15:47 MSK

CLONE_NEWUSER|CLONE_FS

- не помогло, похоже, и вправду патчи спасают...

backbone ★★★★★
(14.03.13 13:19:27 MSK)

Ответ на: комментарий от backbone 14.03.13 13:17:56 MSK

Да, конечно, я не заметил сразу. Теперь валится на [-] clone: Invalid argument, как и положено :)

Компилирую ванильное ядро. Чёрт, хочу в венду, там хоть троянам помогать не надо.

riki ★★★★
(14.03.13 13:21:02 MSK)

https://rdot.org/forum/showthread.php?t=2656 + еще одна уязвимость в 3.8 https://rdot.org/forum/showthread.php?t=2649

~~xtraeft~~ ★★☆☆
(14.03.13 13:23:00 MSK)
Последнее исправление: xtraeft 14.03.13 13:24:35 MSK (всего исправлений: 1)

Ссылка

Ответ на: комментарий от riki 14.03.13 13:21:02 MSK

Чёрт, хочу в венду, там хоть троянам помогать не надо.

научись отличать троян от уязвимости, позволяющей повысить привилегии

~~xtraeft~~ ★★☆☆
(14.03.13 13:23:45 MSK)

Ссылка

Ответ на: комментарий от ivanlex 14.03.13 12:45:09 MSK

То же мне дыра!

это только демонстрация. IRL там уже всё будет как надо.

~~drBatty~~ ★★
(14.03.13 13:27:40 MSK)

Ссылка

Ответ на: комментарий от punya 14.03.13 13:15:03 MSK

у меня на отдельном разделе. не могу проверить :P

я надеюсь, ты понял, почему это хорошая и годная идея?

~~drBatty~~ ★★
(14.03.13 13:30:20 MSK)

все по плану пока школота будет пилить ядро линукса будутдыры и сотни строк не нужного кода линукс капец уже близок

anonymous
(14.03.13 13:38:29 MSK)

Ссылка

Ответ на: комментарий от backbone 14.03.13 13:19:27 MSK

У меня ванильное 3.8.2, точно так же всё

derlafff ★★★★★
(14.03.13 13:40:54 MSK)

Ответ на: комментарий от derlafff 14.03.13 13:40:54 MSK

Тоже собрал ванильное 3.8.2, не работает.

riki ★★★★
(14.03.13 13:47:34 MSK)

Ссылка

А можно список предыдущих local root уязвимостей в ядре Linux 3.8?

Aceler ★★★★★
(14.03.13 13:48:26 MSK)

а также у пользователя есть права на запись в корневую файловую систему

Поясните, что такое права пользователя на запись в файловую систему? Разве в файловой системе права выставляются не индивидуально для каждого конкретного файла/каталога?

Citramonum ★★★
(14.03.13 13:52:34 MSK)