Private 0-day goes public

Takole izgleda, ko private 0-day po dveh letih pride v javnost: KLIK.

The bug is CVE-2010-3081.

Zmeda je pomoje zato, ker je Ben Hawkes zgleda odkril oboje. Ok, tisti kernel regression je v 32-bit compatibility modu na 64 bitnih sistemih. Pri sistemskem klicu se preverja EAX register, za skok se pa uporablja cel RAX.

Za kaj gre pa pri Ac1dB1tch3z bugu? Tukaj ob hitrem pregledu ne vidim napake. Ocitno je nekaj v getsockopt MCAST_MSFILTER, samo kaj?

Zanimivo. Klen in integer overflow pa alociraš kgf po nesreči v kernel spacu. Zdaj lahko v bistvu prepišeš nek bolj ali manj pomemben podatek v pomnilniku jedra in si tako zvišaš privilegije, za jedro pa zgleda kot da pišeš v svoj kos pomnilnika.

Aha popravili so pa compat_alloc_user_space(), tako da preverja kam alocira pomnilnik, ki naj bi bil v uporabniškem prostoru, tako da to sigurno velja. Prej je vsak uporabnik tega sam preverjal, kaj je compat_alloc_user_space() naredil (in ta del kode očitno ni upošteval dogovora).

Se pravi je zdaj po kodi ostalo kar nekaj odvečnih preverjanj.