ownouwa/cve-2024-23113-pocCVE-2024-23113 è una vulnerabilità scoperta nel kernel Linux, appartenente alla categoria delle vulnerabilità di esecuzione arbitraria di codice, che colpisce il sottosistema bpf (Berkeley Packet Filter). Nello specifico, questa vulnerabilità interessa gli oggetti di tipo bpf_prog dei programmi bpf e può consentire a un attaccante di eseguire codice dannoso nello spazio del kernel tramite la costruzione di programmi BPF malevoli.
CVE-2024-23113 è una vulnerabilità scoperta nel Linux Kernel, classificata come vulnerabilità di esecuzione arbitraria di codice, che colpisce il sottosistema bpf (Berkeley Packet Filter). Nello specifico, questa vulnerabilità interessa gli oggetti di tipo bpf_prog dei programmi bpf e può consentire a un attaccante di eseguire codice malevolo nello spazio del kernel tramite la costruzione di programmi BPF dannosi.
BPF (Berkeley Packet Filter) è un framework nel kernel Linux utilizzato per la cattura di pacchetti e l'analisi del traffico di rete. Consente ai programmi utente di interagire direttamente con il kernel caricando programmi BPF, che vengono tipicamente impiegati in ambiti come rete, tracing e analisi delle prestazioni.
La vulnerabilità si verifica essenzialmente durante l'elaborazione di una struttura dati nel BPF Type Format (BTF). Un attaccante può trasmettere una struttura dati BTF malevola per innescare un problema di offset dei puntatori nel codice del kernel, causando perdite di memoria nel kernel o esecuzione arbitraria di codice.
Tramite un input appositamente costruito, l'attaccante può controllare il flusso di esecuzione del programma e persino aggirare alcuni meccanismi di sicurezza del kernel, eseguendo codice arbitrario e ottenendo così privilegi di root.
Condizioni di attacco: l'attaccante deve essere in grado di iniettare programmi BPF dannosi nel sistema o modificare programmi BPF esistenti. Di solito, ciò richiede che l'attaccante disponga di determinati privilegi, come la possibilità di caricare programmi BPF personalizzati o di influenzare lo stack di rete del sistema.
Metodo di sfruttamento: l'attaccante costruisce un programma BPF dannoso e lo carica nel sistema, innescando la vulnerabilità nel sottosistema BPF per ottenere il controllo del kernel. Durante lo sfruttamento, l'attaccante può attivare errori di gestione dei puntatori nel kernel, perdite di memoria, ecc., fino a eseguire codice arbitrario.
Obiettivo: una volta sfruttata con successo la vulnerabilità, l'attaccante può ottenere la capacità di eseguire codice arbitrario, inclusa l'elevazione a utente root, l'esecuzione di comandi di sistema arbitrari, ecc.
Aggiornare il kernel: la misura difensiva più diretta è aggiornare a una versione del kernel che corregga questa vulnerabilità. Il team di sviluppo del kernel Linux ha già rilasciato patch per correggere CVE-2024-23113.
Limitare il caricamento dei programmi BPF: alcune distribuzioni Linux consentono agli utenti di controllare quali programmi possono caricare programmi BPF. Ridurre i permessi di caricamento dei programmi BPF non necessari può contribuire a diminuire la superficie di attacco.
Rafforzare le impostazioni di sicurezza del kernel: abilitando opzioni di kernel hardening, come la configurazione CONFIG_BPF_SYSCALL, si può aumentare ulteriormente la sicurezza del sottosistema BPF.
Utilizzare moduli di sicurezza come SELinux/AppArmor: rafforzare il controllo degli accessi del sistema, limitando i privilegi di programmi e processi che potrebbero essere sfruttati dall'attaccante.
CVE-2024-23113 ha una gravità molto elevata e può portare a esecuzione remota di codice (RCE), consentendo il controllo completo del sistema. Poiché la vulnerabilità risiede nel kernel, il suo sfruttamento può aggirare completamente le protezioni di sicurezza dello spazio utente.
Versioni del kernel interessate: le versioni specifiche interessate da questa vulnerabilità dipendono dalla cronologia degli aggiornamenti del kernel; in genere, le versioni più recenti del kernel potrebbero non includere la correzione nelle patch precedenti. Pertanto, gli utenti devono verificare la versione del kernel attualmente in uso e aggiornare tempestivamente alla versione corretta.
CVE-2024-23113 è una vulnerabilità ad alto rischio che colpisce il kernel Linux; l'utilizzo di programmi BPF costruiti in modo malevolo può portare all'esecuzione arbitraria di codice. La migliore pratica per correggere questa vulnerabilità è aggiornare tempestivamente il kernel e adottare misure di sicurezza appropriate per ridurre il rischio di esposizione del sistema.
