CVE-2022-0847-eBPF

Un programa eBPF para detectar y defender ataques en CVE-2022-0847.

En el espacio del kernel, el programa detecta las llamadas al sistema splice(); si dicha llamada contiene un pipe como fd de salida y los flags del buffer del pipe están establecidos en PIPE_BUF_FLAG_CAN_MERGE, entonces se envía un evento. En el espacio de usuario, el programa mata el proceso correspondiente que llama a splice() y sobrescribe /proc/sys/vm/drop_caches para limpiar la caché de páginas.

Probado en Ubuntu Server 20.10 con kernel 5.8.0-25.

Compilación

clang -g -O2 -target bpf -D__TARGET_ARCH_x86_64 -I/usr/src/linux-headers-5.8.0-25/include -I/usr/include -c ./splice.bpf.c -o splice.bpf.o
bpftool gen skeleton ./splice.bpf.o > splice.skel.h
clang -I/usr/include -c splice.c -o splice_epbf.o
clang splice_epbf.o -lbpf -lelf -lz -o splice_epbf