Khai thác lỗ hổng leo thang đặc quyền CVE-2022-0847 trong Linux

DDos · 12/08/2022

Vào tháng 3 năm nay, nhà nghiên cứu an ninh mạng Max Kellerman đã công bố chi tiết về lỗ hổng trong Linux kernel cho phép hacker ghi đè dữ liệu trong các tệp read-only tùy ý, dẫn đến các tiến trình không có đặc quyền đưa mã vào tiến trình có đặc quyền cao hoặc đặc quyền root và do đó, dẫn đến việc leo thang đặc quyền. Kẻ tấn công chiếm được quyền root có toàn quyền kiểm soát hệ thống mục tiêu và có thể tận dụng quyền kiểm soát đó để tiếp cận các hệ thống khác.

Lỗ hổng có mã định danh CVE-2022-0847, CVSS 7.8. Kellermann giải thích rằng lỗi ảnh hưởng đến Linux Kernel 5.8 và cách thức khai khác cực kỳ dễ dàng. Trong bài viết này, mình sẽ hướng dẫn các bạn cách khai thác lỗ hổng này để dành quyền root trong hệ thống.

Phân tích lỗ hổng

Max Kellerman khi phân tích nhật ký truy cập của các tệp zip đã để ý đến giá trị hex dump của các tệp:

Trong đó:

00 00 ff ff: sync flush bytes
03 00: empty “final” block
9c 12 0b f5: CRC của tệp zip
f7 4a 00 00: Độ lớn tệp theo số thập phân 19191 bytes.

Tuy nhiên, giá trị hex dump của tệp bị hỏng là:

Trong đó:

50 4b 01 02: Giá trị CRC của tệp zip đã bị thay đổi. 50 4b tương đương với các ký tự la-tinh là P và K trong bảng mã ASCII. 01 02 là mã cho tiêu đề tệp thư mục trung tâm (central directory file header).
1e 03 14 00: Độ lớn của tệp theo số thập phân 1.3Mb (Thay đổi so với 19191 bytes ban đầu)

Giá trị CRC thay đổi để biểu thị các chữ cái “PK” là tiêu đề của tệp *.zip và tiêu đề tệp thư mục trung tâm. 1e 03 bằng 30 (UNIX v3.0) và 14 00 là phiên bản cần để giải nén (dịch sang ASCII 20 hoặc v2.0). Max nhận thấy rằng header đã bị cắt bớt sau 8 byte. Lỗi này bắt nguồn từ quá trình pipe (dùng để chuyển hướng trên hệ điều hành Linux, nó cho phép người dùng sử dụng hai hoặc nhiều lệnh sao cho đầu ra của một lệnh đóng vai trò trực tiếp làm đầu vào của lệnh tiếp theo.)

Điều làm Max ngạc nhiên là các lỗi xảy ra nhiều nhất vào ngày cuối cùng của mỗi tháng.

2021-11-21 xảy ra 2 lỗi
2021-11-30 xảy ra 7 lỗi
2021-12-31 xảy ra 6 lỗi
2022-01-31 xả ra 4 lỗi

Sau khi phân tích, nhà nghiên cứu phát hiện vấn đề nằm trong quá trình ghép nối nhật ký của các ngày khác nhau. Lỗi pipe bắt nguồn từ quá trình ghi đè CRC với tiêu đề của tệp ZIP.

Max mô phỏng quá trình các dữ liệu không mong muốn bị ghi đè vào tệp zip như sau:

Mở tệp “foo” và ghi “AAAAA” vào tệp.
Tiếp tục chuyển dữ liệu từ tệp này sang pipe cách sử dụng splice() và sau đó ghi chuỗi “BBBBB” vào pipe

Chuỗi “BBBBB” được ghi vào foo tệp mặc dù quy trình thứ hai không có quyền ghi vào foo tệp. Hàm PIPE_BUF_FLAG_CAN_MERGE có lỗi trong quá trình khởi tạo. Trong kernel 5.8, bằng cách chèn PIPE_BUF_FLAG_CAN_MERGE vào tham chiếu bộ đệm trang, có thể ghi đè dữ liệu trong bộ đệm trang bằng cách ghi dữ liệu mới vào pipe được chế tạo đặc biệt.

Quá trình khai thác lỗ hổng trải qua 4 bước:

Tạo pipe
Nhập vào pipe với dữ liệu tùy ý với mục đích thiết lập PIPE_BUF_FLAG_CAN_MERGE flag tới tất cả các ring (Linux có tất cả 4 ring bao gồm Ring0, Ring1, Ring2, Ring3)
Tác động vào lệnh pipe
Nối dữ liệu từ tệp đích (được mở ở chế độ ReadOnly) vào pipe ngay trước offset mục tiêu.
Ghi dữ liệu tùy ý vào pipe. Thao tác này sẽ ghi đè bộ đệm trang khi PIPE_BUF_FLAG_CAN_MERGE được thiết lập

Lỗ hổng tồn tại vì bộ nhớ cache của trang luôn luôn được ghi bởi kernel và việc ghi vào pipe không kiểm tra bất kỳ quyền nào.