Các lỗ hổng leo thang đặc quyền mới trên Systemd ảnh hưởng đến hầu hết các bản phân phối Linux

[WhiteHat News #ID:2017]

Các nhà nghiên cứu đã phát hiện 3 lỗ hổng trong Systemd, một trình quản lý dịch vụ và hệ thống init (khởi tạo) phổ biến trên phần lớn các hệ điều hành Linux, có thể cho phép kẻ tấn công nội bộ hoặc các chương trình độc hại chiếm quyền truy cập vào các hệ thống mục tiêu.

Các lỗ hổng được đặt tên CVE-2018-16864, CVE-2018-16865 và CVE-2018-16866, nằm trong dịch vụ "systemd-journald" có chức năng thu thập thông tin từ các nguồn khác nhau và tạo các log sự kiện bằng cách đăng nhập thông tin trong journal.

Các lỗ hổng, được phát hiện và báo cáo bởi các nhà nghiên cứu an ninh tại Qualys, ảnh hưởng đến tất cả các bản phân phối Linux dựa trên systemd, bao gồm Redhat và Debian.

Tuy nhiên, một số bản phân phối Linux như SUSE Linux Enterprise 15, openSUSE Leap 15.0, Fedora 28 và 29 không bị ảnh hưởng, vì mã userspace của các hệ điều hành trên được biên dịch với lựa chọn fstack-clash-protection của GCC.

Hai lỗ hổng đầu tiên dẫn đến lỗi bộ nhớ, trong khi lỗi thứ ba là lỗi đọc out-of-bounds trong systemd-journald có thể làm rò rỉ dữ liệu bộ nhớ của tiến trình.

Các nhà nghiên cứu đã tạo các mã khai thác PoC thành công và có kế hoạch công bố trong tương lai gần.

Trong một khuyến cáo công bố vào ngày 9/1, các nhà nghiên cứu cho biết, "Chúng tôi đã phát triển một mã khai thác lỗ hổng CVE-2018-16865 và CVE-2018-16866 để lấy được quyền root trung bình 10 phút trên i386 và 70 phút trên amd64".

CVE-2018-16864 tương tự như lỗ hổng Stack Clash mà các nhà nghiên cứu Qualys đã phát hiện trong năm 2017. Lỗ hổng này có thể bị khai thác bởi phần mềm độc hại hoặc từ người dùng có quyền thấp để leo thang đặc quyền lên quyền root.

Theo các nhà nghiên cứu, CVE-2018-16864 tồn tại trong codebase của systemd kể từ tháng 4/2013 (systemd v203) và có thể bị khai thác vào tháng 2/2016 (systemd v230), trong khi CVE-2018-16865 được biết đến từ tháng 12/2011 (systemd v38) và có thể khai thác được từ tháng 4/2013 (systemd v201).

Tuy nhiên, lỗ hổng thứ ba (CVE-2018-16866) đã được đưa vào trong codebase của systemd vào tháng 6/2015 (systemd v221), nhưng theo các nhà nghiên cứu, nó đã "vô tình được xử lý vào tháng 8/2018".

Nếu bạn đang sử dụng hệ thống Linux tồn tại lỗ hổng, hãy theo dõi các bản cập nhật mới nhất tương ứng với Linux của bạn và cài đặt các bản vá ngay khi có bản cập nhật.

Theo The hackernews​