ownouwa/cve-2024-23113-pocCVE-2024-23113 ist eine Schwachstelle, die im Linux-Kernel entdeckt wurde. Sie gehört zur Kategorie der Schwachstellen zur beliebigen Codeausführung und betrifft das bpf (Berkeley Packet Filter)-Subsystem. Konkret betrifft diese Schwachstelle Objekte vom Typ bpf_prog von bpf-Programmen und kann es einem Angreifer ermöglichen, durch das Erstellen bösartiger BPF-Programme bösartigen Code im Kernel-Space auszuführen.
CVE-2024-23113 ist eine Schwachstelle, die im Linux-Kernel entdeckt wurde. Sie gehört zur Kategorie Arbitrary Code Execution und betrifft das bpf (Berkeley Packet Filter) Subsystem. Konkret betrifft diese Schwachstelle Objekte vom Typ bpf_prog in bpf-Programmen und kann es einem Angreifer ermöglichen, durch das Erstellen bösartiger BPF-Programme bösartigen Code im Kernel-Space auszuführen.
BPF (Berkeley Packet Filter) ist ein Framework im Linux-Kernel, das für Paketerfassung und Netzwerkverkehrsanalyse verwendet wird. Es erlaubt Benutzerprogrammen, durch das Laden von BPF-Programmen direkt mit dem Kernel zu interagieren. Diese Programme werden typischerweise in Bereichen wie Netzwerk, Tracing und Performance-Analyse eingesetzt.
Die Schwachstelle tritt im Wesentlichen während der Verarbeitung einer Datenstruktur im BPF Type Format (BTF) auf. Ein Angreifer kann durch die Übergabe einer bösartigen BTF-Datenstruktur ein im Kernel-Code vorhandenes Zeiger-Offset-Problem auslösen, was zu Kernel-Speicherlecks oder beliebiger Codeausführung führt.
Durch sorgfältig konstruierte Eingaben kann ein Angreifer den Programmausführungsfluss kontrollieren und sogar einige Sicherheitsmechanismen im Kernel umgehen, beliebigen Code ausführen und so Root-Rechte erlangen.
Angriffsbedingungen: Der Angreifer muss in der Lage sein, bösartige BPF-Programme in das System zu injizieren oder bestehende BPF-Programme zu modifizieren. Normalerweise erfordert dies, dass der Angreifer über bestimmte Privilegien verfügt, z. B. benutzerdefinierte BPF-Programme laden zu können oder den Netzwerk-Stack des Systems beeinflussen zu können.
Ausnutzungsmethode: Der Angreifer erstellt ein bösartiges BPF-Programm, lädt es in das System und löst so die Schwachstelle im BPF-Subsystem aus, wodurch er die Kontrolle über den Kernel erlangt. Bei der Ausnutzung kann der Angreifer Zeigeroperationsfehler, Speicherlecks usw. im Kernel auslösen und schließlich beliebigen Code ausführen.
Ziel: Sobald die Schwachstelle erfolgreich ausgenutzt wurde, kann der Angreifer die Fähigkeit zur Ausführung beliebigen Codes erlangen, einschließlich der Erhöhung auf Root-Benutzer, der Ausführung beliebiger Systembefehle usw.
Kernel aktualisieren: Die direkteste Verteidigungsmaßnahme ist die Aktualisierung auf eine Kernel-Version, die diese Schwachstelle behebt. Das Linux-Kernel-Entwicklungsteam hat bereits Patches zur Behebung von CVE-2024-23113 veröffentlicht.
Laden von BPF-Programmen einschränken: Einige Linux-Distributionen erlauben Benutzern zu kontrollieren, welche Programme BPF-Programme laden dürfen. Die Reduzierung unnötiger Berechtigungen zum Laden von BPF-Programmen kann dazu beitragen, die Angriffsfläche zu verkleinern.
Kernel-Sicherheitseinstellungen verstärken: Durch Aktivieren von kernel hardening-Optionen wie der CONFIG_BPF_SYSCALL-Konfiguration kann die Sicherheit des BPF-Subsystems weiter erhöht werden.
Sicherheitsmodule wie SELinux/AppArmor verwenden: Verstärken Sie die Zugriffskontrolle des Systems und beschränken Sie die Berechtigungen von Programmen und Prozessen, die von Angreifern ausgenutzt werden könnten.
CVE-2024-23113 hat eine sehr hohe Schwere und kann zu Remote Code Execution (RCE) führen, wodurch eine vollständige Systemkontrolle erreicht werden kann. Da die Schwachstelle im Kernel existiert, kann bei der Ausnutzung der Benutzerspace-Sicherheitsschutz vollständig umgangen werden.
Betroffene Kernel-Versionen: Die konkret betroffenen Versionen hängen von der Update-Historie des Kernels ab. Neuere Kernel-Versionen enthalten möglicherweise den Fix in früheren Patches nicht. Daher müssen Benutzer die aktuell verwendete Kernel-Version überprüfen und rechtzeitig auf eine behobene Version aktualisieren.
CVE-2024-23113 ist eine hochriskante Schwachstelle, die den Linux-Kernel betrifft. Durch die Ausnutzung bösartig konstruierter BPF-Programme kann beliebiger Code ausgeführt werden. Die beste Vorgehensweise zur Behebung dieser Schwachstelle ist die rechtzeitige Aktualisierung des Kernels sowie die Ergreifung geeigneter Sicherheitsmaßnahmen, um das Risiko der Systemexposition zu verringern.
