Descrizione della vulnerabilità

Ubuntu è un sistema operativo GNU/Linux open source principalmente per desktop, basato su Debian GNU/Linux. Recentemente, un white hat ha rivelato che l'ultima versione di Ubuntu (Ubuntu 16.04) presenta una vulnerabilità di escalation dei privilegi locali, con ID CVE-2017-16995. La vulnerabilità risiede nel kernel Linux che chiama eBPF bpf(2). Quando un utente fornisce un programma BPF dannoso, il modulo eBPF verifier commette un errore di calcolo, causando problemi di lettura/scrittura arbitraria della memoria. Un utente con privilegi bassi può sfruttare questa vulnerabilità per ottenere privilegi amministrativi. Questa vulnerabilità è stata corretta nelle versioni precedenti, ma può ancora essere sfruttata nell'ultima versione. Ufficialmente non sono state rilasciate patch pertinenti e la vulnerabilità è in stato 0day.

Versioni interessate

Linux Kernel Version 4.14-4.4 Solo distribuzioni Ubuntu/Debian interessate

Livello di vulnerabilità

Critico

Dimostrazione

bearcat@ubuntu:/opt$ lsb_release -a
<br>No LSB modules are available.
<br>Distributor ID: Ubuntu
<br>Description:    Ubuntu 16.04.4 LTS
<br>Release:        16.04
<br>Codename:       xenial
<br>bearcat@ubuntu:/opt$ uname -a
<br>Linux ubuntu 4.4.0-116-generic #140-Ubuntu SMP Mon Feb 12 21:23:04 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
<br>bearcat@ubuntu:/opt$ id
<br>uid=1000(bearcat) gid=1000(bearcat) <br>groups=1000(bearcat),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),110(lxd),115(lpadmin),116(sambashare)
<br>bearcat@ubuntu:/opt$ ls
<br>exploit.c
<br>bearcat@ubuntu:/opt$ gcc exploit.c -o exploit
<br>bearcat@ubuntu:/opt$ ./exploit
<br>task_struct = ffff88003a0db800
<br>uidptr = ffff8800374b76c4
<br>spawning root shell
<br>root@ubuntu:/opt# id
<br>uid=0(root) gid=0(root) groups=0(root),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),110(lxd),115(lpadmin),116(sambashare),1000(bearcat)
<br>root@ubuntu:/opt#

Mitigazione della vulnerabilità

Metodo 1:

Al momento non è stata proposta una soluzione chiara di aggiornamento della patch, ma si consiglia agli utenti di limitare l'uso della chiamata di sistema bpf(2) da parte degli utenti normali modificando i parametri del kernel per mitigare il problema: Impostare il parametro "kernel.unprivileged_bpf_disabled = 1" limitando l'accesso alla chiamata bpf(2) per prevenire questa escalation di privilegi.
root@Ubuntu# echo 1 > /proc/sys/kernel/unprivileged_bpf_disabled

Metodo 2:

Aggiornare la versione del kernel Linux. Riavviare il server per rendere effettiva la modifica: Questo passaggio è già stato descritto durante la configurazione dell'ambiente. L'utente deve solo modificare la versione del kernel!

Metodo 3:

Patch del codice https://github.com/torvalds/linux/commit/95a762e2c8c942780948091f8f2a4f32fce1ac6f