Linux-Kernel-Version 4.14 - 4.4 (Ubuntu && Debian)

Beschreibung

Diese Schwachstelle existiert im eBPF bpf(2) Systemaufruf des Linux-Kernels. Wenn ein Benutzer ein bösartiges BPF-Programm bereitstellt, verursacht es einen Berechnungsfehler im eBPF-Validator-Modul, was zu beliebigen Speicher-Lese-/Schreibproblemen führt. Nicht privilegierte Benutzer können diese Schwachstelle nutzen, um Privilegien zu erweitern. Die Schwachstelle wurde von Google Project Zero entdeckt.

CVE-Nummer

CVE-2017-16995

Bedrohungsstufe

Hoch

Demonstration

bearcat@ubuntu:/opt$ lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 16.04.4 LTS
Release:        16.04
Codename:       xenial
bearcat@ubuntu:/opt$ uname -a
Linux ubuntu 4.4.0-116-generic #140-Ubuntu SMP Mon Feb 12 21:23:04 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
bearcat@ubuntu:/opt$ id
uid=1000(bearcat) gid=1000(bearcat) groups=1000(bearcat),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),110(lxd),115(lpadmin),116(sambashare)
bearcat@ubuntu:/opt$ ls
exploit.c
bearcat@ubuntu:/opt$ gcc exploit.c -o exploit
bearcat@ubuntu:/opt$ ./exploit
task_struct = ffff88003a0db800
uidptr = ffff8800374b76c4
spawning root shell
root@ubuntu:/opt# id
uid=0(root) gid=0(root) groups=0(root),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),110(lxd),115(lpadmin),116(sambashare),1000(bearcat)
root@ubuntu:/opt#

Behebungsvorschläge

Derzeit gibt es noch keinen klaren Patch-Upgrade-Plan. Benutzern wird empfohlen, nach Risikobewertung den Zugriff normaler Benutzer auf den bpf(2)-Systemaufruf durch Änderung des Kernel-Parameters einzuschränken:

Setzen Sie den Parameter „kernel.unprivileged_bpf_disabled = 1", um diese Privilegienausweitung durch Einschränkung des Zugriffs auf den bpf(2)-Aufruf zu verhindern.

root@Ubuntu# echo 1 > /proc/sys/kernel/unprivileged_bpf_disabled

Zugehöriger Code-Patch https://github.com/torvalds/linux/commit/95a762e2c8c942780948091f8f2a4f32fce1ac6f