CVE-2021-3656-Demo

CVE-2021-3656:

تحدث هذه المشكلة بسبب غياب التحقق من حقل virt_ext في VMCB، وتسمح لضيف L1 خبيث بتعطيل كل من اعتراضات VMLOAD/VMSAVE وVLS (Virtual VMLOAD/VMSAVE) لضيف L2. في ظل هذه الظروف، يمكن لضيف L2 تشغيل VMLOAD/VMSAVE دون اعتراض، وبالتالي قراءة/كتابة أجزاء من الذاكرة الفعلية للمضيف.

إعداد البيئة للوصول إلى نواة لينكس:

1. يمكنك استخدام حاوية Docker أو استخدام جهاز افتراضي. سأبذل قصارى جهدي باستخدام حاوية docker

2. ستحتاج إلى إعداد Docker Desktop على MAC أو Windows. إذا كان لديك جهاز لينكس بشكل افتراضي، يمكنك تجاهل كل هذه الخطوات.

3. بعد ذلك ستحتاج إلى سحب صورة ubuntu من: ubuntu - Official Image | Docker Hub

a. بالنسبة لنظام Windows يمكنك كتابة “docker pull ubuntu” في PowerShell أو CMD

b. الأمر نفسه بالنسبة لـ MAC i. ملاحظة: هذا سيسحب أحدث إصدار من ubuntu. قد ترغب في سحب إصدار أقدم حتى يكون لديك إصدار أقدم من نواتها ii. أنشئ دليلاً يحتوي على Dockerfile فيه. يجب أن يحتوي الملف كحد أدنى على: “From ubuntu:16.04” iii. للحصول على إصدار أقدم اكتب: “docker build -t ubuntu-xenial” على سبيل المثال iv. للتحقق من الصور الحالية لديك اكتب: “docker image ls”

c. بمجرد تشغيل الأمر من iii، سيزودك النظام بمعرّف الحاوية (container ID). i. يمكنك التحقق عبر “docker container ls” للتأكد من أن الحاوية متاحة

d. وللوصول إلى هذه الحاوية ستحتاج إلى كتابة: “docker exec -it ”

e. يجب أن تكون الآن داخل الحاوية في الدليل “/”

f. تم اكتشاف هذا الاستغلال في إصدار النواة 4.13؛ نحتاج إلى التأكد من أن هذا هو الإصدار الذي تعمل به بيئة عملنا i. للتحقق اكتب: uname -r

g. من هنا تجد دليل النواة بكتابة: “cd sys/kernel”

h. من هنا لم أحرز تقدمًا كبيرًا لأنني لم أستطع إيجاد طريقة للتخفيض إلى النواة 4.13

i. حاولت أيضًا التخفيض باستخدام الأجهزة الافتراضية، لكن ذلك لم ينجح أيضًا

المراجع:

● oss-security - [CVE-2021-3653, CVE-2021-3656] مشاكل المحاكاة الافتراضية المتداخلة SVM في KVM (openwall.com) ○ هذه نظرة عامة على ثغرتين تم العثور عليهما في كود AMD الخاص بـ KVM للمحاكاة الافتراضية المتداخلة المدعومة

● هذا هو التصحيح (PATCH): kvm/kvm.git - kernel-based virtual machine - kvm

● KVM: SVM: Enable Virtual VMLOAD VMSAVE feature · torvalds/linux@89c8a49 (github.com) ○ هذا هو الكود المعرض للثغرة

● RHSA-2021:3676 - Security Advisory - Red Hat Customer Portal

● CVE-2021-3656- Red Hat Customer Portal ○ وصف Red Hat للاستغلال

● 1983988 – (CVE-2021-3656) CVE-2021-3656 kernel: مشكلة المحاكاة الافتراضية المتداخلة SVM في KVM (VMLOAD/VMSAVE) (redhat.com)

● ما هو KVM؟ (redhat.com) ○ شرح حول ماهية KVM

● كيفية التحقق من إصدار نواة لينكس في سطر الأوامر (4 خيارات سهلة) (phoenixnap.com)

● مقالات/فيديوهات حول كيفية تخفيض نواة لينكس

○ كيفية تخفيض النواة في لينكس - Make Tech Easier ○ كيفية التخفيض من WSL الإصدار 2 إلى WSL الإصدار 1 - MSSQL DBA Blog (peter-whyte.com) ○ Linux Series - 2.1.5 ترقية/تخفيض نواة لينكس - YouTube

● كيفية التحقق من تثبيت KVM في Ubuntu Linux - Linux Shout (how2shout.com) ○ تحتاج إلى توفر KVM لهذا الاستغلال

● كيفية تثبيت QEMU/KVM على Ubuntu 22.04 | 20.04 LTS - Linux Shout (how2shout.com)

● كيفية تثبيت نواة لينكس 4.13 في Ubuntu وLinux Mint؟ (fossbytes.com) ○ كيفية تثبيت نواة لينكس 4.13