Lokální root v jádrech 2.6.39 a novějších

H-Online píše, jak snadné je získat root shell díky chybě zavlečené do jádra ve verzi 2.6.39. Právě v této verzi byl z jádra odstraněn kód, díky kterému nemohl kdokoliv zapisovat do paměti jiného procesu přes /proc. Alespoň jedno pozitivum tu ale je: díky tomuto existuje nový způsob, jak získat roota na svém telefonu s Androidem.

24.1.2012 09:16 | Luboš Doležel (Doli) | Bezpečnostní upozornění

Komentáře

[Luboš Doležel (Doli)]

Je zajímavé, že na Gentoo ten exploit selže na tom, že /bin/su nelze číst. Překvapuje mě, že tahle drobná - i když ne nepřekonatelná - překážka není třeba i na Debianu.

[Adam]

Debian default nie, ludia ako ja ktori ho pouzivaju naozaj na produkcnych serveroch si ho samy prisposobuju, zabezpecuju a osetruju ...

[a1bert]

produkcni debian ma kernel 2.6.32.x, takze netreba nic zabezpecovat a upravovat ;)

[Pev]

Taktak, jak už bylo psáno, na unstable to jede .

[marek_hb]

i ted? dneska byl update jádra

[Jakub Lucký]

Zatím jsem nedostal debian-security-announce...

[Pev]

Ne, už ne.

[pakanek]

Ve Fedoře 15 také nefunguje.

[Atom321]

To jen znamená, že si útočník musí sehnat kopii binárky jinde. A nemusí to být přímo /bin/su, zneužít půjde jakýkoliv program s nastaveným set-uid atributem. Možná se může zorientovat přímo v /proc/xxx/mem.

Nejlepší překážka by byla, kdyby vývojářské pomůcky (jako třeba /proc/x/mem, trace, /proc/kmem) na produkčních jádrech vůbec nebyly.

[Luboš Doležel (Doli)]

To jen znamená, že si útočník musí sehnat kopii binárky jinde. A nemusí to být přímo /bin/su, zneužít půjde jakýkoliv program s nastaveným set-uid atributem. Možná se může zorientovat přímo v /proc/xxx/mem.

To sice ano, ale aspoň to zarazí script kiddies.

[pc2005]

uname -a; wget balíček_s_su? To je naopak krásně skriptovatelné .

[petr_p]

Gentoo žádný balíček_s_su nemá :)

[pc2005]

Souhlas, vlastní embedded distribuce taky ne. Gentoo a spol. tedy budou bezpečné, kolikže má procent oproti ubuntu? >-D

[pavlix]

Gentoo a spol. tedy budou bezpečné

Jako vtip dobré, zvlášť v reakci na Lubošův komentář :).

[pc2005]

Jj .

[petr_p]

Poslední verze exploitu nepotřebuje čitelnou binárku, protože používá ptrace na zjištění adresy, kam ma zapsat shellcode.

[stativ]

Na mailling listu Archu byla zmínka, že su je jedna z aplikací, kde to nefunguje. Třeba gpasswd by ale už zranitelný být měl.

[marvn]

v archu uz to nefunguje...ale aspon ted vim, k cemu byl ten vcerejsi upgrade kerenelu

[Limoto]

Já jedu na nějakým starším 3.2.1 z Archu a první exploit mi vytuhne, ale verze pro Fedoru funguje

[radek]

ano, místo su se použije gpasswd. Momentálně jedu na starším 3.1.9 x86_64 kvuli DVB-T API a zranitelnost je tam :(..

Existuje ale update kernelu (dnesni) myslím, že je to linux-3.2.1-2

[l4m4]

3.2.1-3 z t-u vypadá OK, ale netestoval jsem, na čem přesně to selže, tedy zda to nejde nějak obejít...

[Delaunay]

Root shell na novém jádře už nezískám. Binárka skončí stavovým kódem 1.

===============================
=          Mempodipper        =
=           by zx2c4          =
=         Jan 21, 2012        =
===============================

[+] Ptracing su to find next instruction without reading binary.
[+] Creating ptrace pipe.
[+] Forking ptrace child.
[+] Waiting for ptraced child to give output on syscalls.
[+] Ptrace_traceme'ing process.
[+] Error message written. Single stepping to find address.
[+] Resolved call address to 0x8049b68.
[+] Opening socketpair.
[+] Waiting for transferred fd in parent.
[+] Executing child from child fork.
[+] Opening parent mem /proc/10390/mem in child.
[+] Sending fd 6 to parent.
[+] Received fd at 6.
[+] Assigning fd 6 to stderr.
[+] Calculating su padding.
[+] Seeking to offset 0x8049b5a.
[+] Executing su with shellcode.

[l4m4]

Verze se su nefungovala na Fedoře AFAIK ani předtím, ale s gpasswd ano.

[Lol Phirae]

Finally, an alternative to sudo.

[2X4B-523P]

Debian unstable - krásně to funguje, ale přišlo mi mezi aktualizacemi lsb-release 3.2, takže to si dlouho fungovat nebude...

[bary]

Ono to krasne funguje i v gentoo, akorat jak si kazdy kompiluje vse sam, tak nesedi adresy (coz bude "problem" i dalsich distribuci). Takze staci si ty adresy ziskat, napriklad objdumpem:

objdump -d /bin/su | grep '<exit@plt>:'

Pak ziskanou adresu predat exploitu. Jen je hacek v tom, ze normalni user nemuze /bin/su cist, takze to chce na jinem kompu nainstalovat stejne distro a adresu si ziskat za roota.

[Michal Wirth]

autor zx2c4 nove pise ve tretim updatu sveho blogu o zpusobu, jak tento "nedostatek" obejit, takze instalace stejne distribuce zrejme neni potreba

[R]

Dnes je v Gentoo nove jadro...

[Ja]

Ve fedoře taky

[Pev]

Jde o CVE-2012-0056 (abych to pak našel :).

[m;)]

nie je tych exploitov na linux trochu vela ?