ownouwa/cve-2024-23113-pocCVE-2024-23113 é uma vulnerabilidade encontrada no Linux Kernel, que pertence à classe de vulnerabilidades de execução arbitrária de código, afetando o subsistema bpf (Berkeley Packet Filter). Especificamente, essa vulnerabilidade afeta objetos do tipo bpf_prog de programas bpf e pode permitir que um atacante execute código malicioso no espaço do kernel ao construir programas BPF maliciosos.
CVE-2024-23113 é uma vulnerabilidade encontrada no Linux Kernel, classificada como vulnerabilidade de execução arbitrária de código, que afeta o subsistema bpf (Berkeley Packet Filter). Especificamente, essa vulnerabilidade afeta objetos do tipo bpf_prog de programas bpf e pode permitir que um atacante execute código malicioso no espaço do kernel por meio da construção de programas BPF maliciosos.
BPF (Berkeley Packet Filter) é um framework no kernel Linux usado para captura de pacotes e análise de tráfego de rede. Ele permite que programas de usuário interajam diretamente com o kernel carregando programas BPF, que normalmente são usados em áreas como rede, rastreamento e análise de desempenho.
A vulnerabilidade ocorre essencialmente durante o processamento de uma estrutura de dados no BPF Type Format (BTF). Um atacante pode, ao enviar uma estrutura de dados BTF maliciosa, acionar um problema de deslocamento de ponteiro no código do kernel, resultando em vazamento de memória do kernel ou execução arbitrária de código.
Por meio de uma entrada cuidadosamente construída, o atacante consegue controlar o fluxo de execução do programa e até mesmo contornar alguns mecanismos de segurança do kernel, executando código arbitrário e obtendo privilégios de root.
Condições de ataque: O atacante precisa ser capaz de injetar programas BPF maliciosos no sistema ou modificar programas BPF existentes. Normalmente, isso exige que o atacante tenha certos privilégios, como a capacidade de carregar programas BPF personalizados ou influenciar a pilha de rede do sistema.
Método de exploração: O atacante constrói um programa BPF malicioso e o carrega no sistema, acionando a vulnerabilidade no subsistema BPF para obter controle sobre o kernel. Durante a exploração, o atacante pode acionar erros de operação de ponteiro, vazamentos de memória, etc., no kernel, eventualmente executando código arbitrário.
Objetivo: Uma vez que a vulnerabilidade é explorada com sucesso, o atacante pode obter a capacidade de executar código arbitrário, incluindo elevação para usuário root, execução de comandos arbitrários do sistema, entre outros.
Atualizar o kernel: A medida de defesa mais direta é atualizar para uma versão do kernel que corrija essa vulnerabilidade. A equipe de desenvolvimento do kernel Linux já lançou patches para corrigir o CVE-2024-23113.
Restringir o carregamento de programas BPF: Algumas distribuições Linux permitem que os usuários controlem quais programas podem carregar programas BPF. Reduzir permissões desnecessárias de carregamento de BPF pode ajudar a diminuir a superfície de ataque.
Reforçar as configurações de segurança do kernel: Habilitar opções de kernel hardening, como a configuração CONFIG_BPF_SYSCALL, para aumentar ainda mais a segurança do subsistema BPF.
Usar módulos de segurança como SELinux/AppArmor: Reforçar o controle de acesso do sistema, limitando as permissões de programas e processos que possam ser explorados pelo atacante.
CVE-2024-23113 tem gravidade alta e pode levar à execução remota de código (RCE), resultando em controle total do sistema. Como a vulnerabilidade existe no kernel, sua exploração pode contornar completamente as proteções de segurança do espaço do usuário.
Versões de kernel afetadas: As versões específicas afetadas por essa vulnerabilidade dependem do histórico de atualizações do kernel; geralmente, versões mais recentes do kernel podem não incluir a correção em patches anteriores. Portanto, os usuários precisam verificar a versão atual do kernel em uso e atualizar prontamente para a versão corrigida.
CVE-2024-23113 é uma vulnerabilidade de alto risco que afeta o kernel Linux; o uso de programas BPF construídos maliciosamente pode levar à execução arbitrária de código. A melhor prática para corrigir essa vulnerabilidade é atualizar o kernel prontamente e adotar medidas de segurança adequadas para reduzir o risco de exposição do sistema.
