Nova resna ranljivost v Linux jedrih 2.4 in 2.6

V skriptu filmček pripne na konec executabla:

cat tzameti.avi >> ./exploit

Tukaj ta filmček prebere v buf:

file = fopen("/proc/self/exe", "r");
fseek(file, -VIDEO_SIZE, SEEK_END);
fread(buf, VIDEO_SIZE, 1, file);

Skoraj ekvivalent situacije ko MSFT objavi popravek vendar ga uporabniki ne namestijo, nakar sledi masovno zgražanje in pljuvanje nad Microsoft, ko izbruhne should-be-patched-for-months-by-now Coficker. Welcome to the club, penguins...
Razlika je tudi v tem da si ti za en sistem plačal in lahko upravičeno pričakuješ odpravo napake v čimkrajšem času.

IMHO SELinux ne pripomore kar tako k varnosti. Vazno je, da administrator sam definira neko smiselno varnostno politiko. Drugace je kot bi rekel: account brez passworda je nevaren, pogledal nek primer na netu, spremenil password v tisto iz primera in rekel uh, zdaj sem pa varen, ceprav bi jasno se vedno (skoraj) vsak vedel geslo.

BTW: Zanimiv mitigation za RH EL
Ce to prav razumem, s tem samo "prepoves" oz. preprecis nalaganje modulov, ki implementirajo vulnerable protokol. Torej EL po defaultu sploh ni ranljiv dokler admin ne naredi npr. "modprobe bluetooth". Vecja modularnost je tu zelo koristna. Ali to narobe razumem in se ob npr. socket() lahko sam nalozi ustrezen modul za tisti protokol? No s tem workaroundom se zmeraj resis problem, samo to bi pomenilo da je EL vseeno vulnerable.

Sem poskusil pognati kot navaden user testni programcek, ki je naredil:
printf("%d\n", socket(PF_BLUETOOTH, SOCK_DGRAM, 0));
in bluetooth modul se je kar avtomaticno naloadal. Kako to tocno deluje?
S tistim v modprobe.conf je zadeva failala (sem dobil -1) in bluetooth se ni nalozill, niti kot root ni vec deloval /sbin/modprobe bluetooth. Torej, ce imas vse potencialno ranljive zadeve prevedene kot modul in jih ne rabis, lahko resis problem kar tako, da naredis rmmod in potem prepoves njegovo ponovno nalaganje.

a@gentoo ~/wunderbar_emporium $ ./wunderbar_emporium.sh
[+] MAPPED ZERO PAGE!
unable to find a vulnerable domain, sorry

In kaj naj bi to pomenilo ?

a@gentoo ~/wunderbar_emporium $ uname -a
Linux gentoo 2.6.23-gentoo-r9 #6 Thu Jan 15 13:10:42 CET 2009 i686 Intel® Celeron™ CPU 1300MHz GenuineIntel GNU/Linux
a@gentoo ~/wunderbar_emporium $ cat /proc/sys/vm/mmap_min_addr
cat: /proc/sys/vm/mmap_min_addr: No such file or directory

Aja, nimam pulseaudio in ne sellinux.

a@gentoo ~/wunderbar_emporium $ ./wunderbar_emporium.sh
[+] MAPPED ZERO PAGE!
unable to find a vulnerable domain, sorry

In kaj naj bi to pomenilo ?

To pomeni afaik, da nimas supporta za noben protokol, ki pusti pointer po nesreci na NULL. Torej ne v jedru, ne kot modul nimas bluetooth, ipx, x25, scpt itd. podpore oz. imas eksplicitno prepovedano nalaganje teh modulov. Page 0 se je dal mapirati, kar pomeni, da bi se dal exploitati kaksen NULL pointer deref bug. Tudi tvoje jedro je naceloma ranljivo, ampak ranljiva koda se sploh ne uporablja (najbrz sploh ni prevedena) in si zato varen.
Iz exploit.c:

const int domains[][3] = { { PF_APPLETALK, SOCK_DGRAM, 0 },
        {PF_IPX, SOCK_DGRAM, 0 }, { PF_IRDA, SOCK_DGRAM, 0 },
        {PF_X25, SOCK_DGRAM, 0 }, { PF_AX25, SOCK_DGRAM, 0 },
        {PF_BLUETOOTH, SOCK_DGRAM, 0 }, { PF_IUCV, SOCK_STREAM, 0 },
        {PF_INET6, SOCK_SEQPACKET, IPPROTO_SCTP },
        {PF_PPPOX, SOCK_DGRAM, 0 },
        {PF_PPPOX, SOCK_DGRAM, PX_PROTO_OL2TP },
        {DOMAINS_STOP, 0, 0 }
        };

Pithlit: Ne, mplayer nima nobene veze. Uporablja se samo za tisti (lame) ASCII art show. Exploit bi delal tudi brez tega. Ce nimas mmap_min_addr
potem se da izkoriscati brez cesar koli NULL pointer dereference buge. Drugo vprasanje pa je, ce sploh uporabljas kodo, ki je ranljiva.

Pithlit: Ne, mplayer nima nobene veze. Uporablja se samo za tisti (lame) ASCII art show. Exploit bi delal tudi brez tega. Ce nimas mmap_min_addr
potem se da izkoriscati brez cesar koli NULL pointer dereference buge. Drugo vprasanje pa je, ce sploh uporabljas kodo, ki je ranljiva.

Že, že... ampak. Imam več ali manj enak setup kot karafeka. Noben od naju nima SELinux ali PulseAudio, noben od naju nima /proc/sys/vm/mmap_min_addr. Jaz sem exploitable, on pa ne. Torej tile pogoji niso edini. Lahko je sicer kakšna razlika med 2.6.23 in 2.6.25, ampak tudi to je že nek drugi pogoj, ki ni 'dokumentiran'.

*edit* To... ali pa ta exploit example izrablja še kak drug bug in doseže isti rezultat.

Ja, jaz sem si sam prevedel kernel in sem zadeve, ki jih nimam izključil (kar pomenil, da nimam podpore za bluetooth (in ostale "domene" v exploit.c) niti v kernelu niti kot modul).

Ja, jaz sem si sam prevedel kernel in sem zadeve, ki jih nimam izključil (kar pomenil, da nimam podpore za bluetooth (in ostale "domene" v exploit.c) niti v kernelu niti kot modul).

Hja... enako... no, vsaj v grobem. Bomo pa malo bolj podrobno pogledal ko bootnem škatlo, pa 'poročam' kasneje.

Kot berem te ranljivosti nastanejo pri uporabi večinoma uporabniških programov (mplayer, bluetooh), torej so serverji varni?

Narobe beres In ne, serverji niso nujno varni. Mplayer nima nobene veze z ranljivostjo, niti nima noben uporabniski program.

Problem je v bistvu v sendfile() sistemskem klicu oz. bolj podrobno v sock_sendpage(). Pri raznih protokolih lahko povzrocis, da se ops ne nastavi kot bi bilo treba, ampak ostane NULL. Ko poklices sendfile() nad takim socketom pride do dereferenciranja NULL pointerja. Sicer je res, da so to bolj eksoticne zadeve, ampak ponavadi imajo GENERIC kerneli od distribucij vse stvari prevedene kot modul. Se pravi tudi ce nimas dejansko bluetooth strojne opreme, bluetooth socket lahko ustvaris (kernel module se takrat avtomatsko naloada). Pa to ni edini primer s katerim lahko zafrknes sock_sendpage().

Ranljiv nisi takrat, ce si sam poskrbel za prevajanje kernela in teh stvari nisi vkljucil ne v jedro niti ne kot modul (oz. si potem eksplicitno prepovedal nalaganje le-tega).

Kdaj ta issue lahko izkoristis je pa spet druga zgodba. Tu imas, ce uporabljas novejse jedro z mmap_min_addr nastavljeno na > 0 in nimas defaultno skonfiguriranega SELinuxa prednost.

Meh... IRDA domain zgleda dela drmr kle... oh ja, bomo porihtal ob priliki.

Zakaj pa meni javi permission denied? Prvo sem mislil, da zato, ker imam 64bitno verzijo, a sem ravnokar prebral, da bi exploit moral normalno delovati.