Tři bezpečnostní chyby v systemd

Byly zveřejněny informace o třech bezpečnostních chybách ve správci systému a služeb systemd. Jedná se o CVE-2018-16864, CVE-2018-16865 a CVE-2018-16866. Zneužít je lze k lokální eskalaci práv.

9.1.2019 23:55 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Xerces]

Ne! Tomu odmítám uvěřit.

[run]

To bude nejaka ucelovka.

[Sten]

Není to tak zlé, jedna se v novějších verzích nevyskytuje a ty zbylé dvě bez ní využít nejdou.

[marbu]

Zajímavé je taky tohle:

To the best of our knowledge, all systemd-based Linux distributions are vulnerable, but SUSE Linux Enterprise 15, openSUSE Leap 15.0, and Fedora 28 and 29 are not exploitable because their user space is compiled with GCC's -fstack-clash-protection.

This confirms https://grsecurity.net/an_ancient_kernel_hole_is_not_closed.php: "It should be clear that kernel-only attempts to solve [the Stack Clash] will necessarily always be incomplete, as the real issue lies in the lack of stack probing."

[joejoe]

Nechci uplne zacinat flame, ale neda mi to. Moc nerozumim jak je mozne vubec z systemd-journald udelat eskalaci prav. Proc logovaci daemon bezi s opravnenimi roota?

[lnykryn]

Kvůli tomu, aby mohl zjištovat metadata o procesech, které posílají zprávy.

[2017]

Nebylo by lepsi, aby mu to ty procesy rekli sami?

[lnykryn]

Doporučuji se kouknout na výstup journalctl --output verbose. Hodnoty, které nezačínají na _, jsou informace, které právě řekl journálu sám proces. Ale pak by databázový server klidně mohl tvrdit, že ve skutečnosti je mailový server. Proto journal sám zjišťuje nejaké informace o odesilateli a ty mají prefix _. O těch pak admin ví, že je proces nemohl podvrhnout.

[tomvec]

A kdo hlídá systemd, aby nic nepodvrhl? To už je linux v takovém rozkladu, že o sobě může databázový server tvrdit, že je mailový?

[Peter Golis]

Podvrhnúť správu dokáže aj nudiaci sa študent. To nemá s linuxom a ani rozkladom nič spoločné.

[Sten]

Aby mohl zjišťovat informace o procesech, které mu posílají data, aby mohl zapisovat do adresářů, kam může zapisovat jen root, a aby mohl zapisovat jako jiný uživatel, pokud mu posílá logy uživatelské sezení. Ze stejných důvodů běží pod rootem i syslog nebo rsyslog.

[R]

Uz sa da ta sracka restartovat? Nemoznost restartovat systemd-journald po "apt upgrade" (bez restartu celeho servera) bola posledna kvapka, po ktorej som ho odstranil aj z jedineho servera, kde bol na testovanie.

[michich]

systemd-journald je možné restartovat. Bez ukončení logování výstupů služeb zapisujících do stdout/stderr to jde od verze 219, kdy systemd začal poskytovat službám možnost uchování otevřených file deskriptorů během jejich restartu.

[cleaner]

Premyslime v praci, jak se vuci tomu branit nez budou existovat oficialni patche. V tom hlavnim dokumentu kde ty chyby popisuji zminuji, ze vyuzili faktu, ze journald je automaticky restartovan. Myslite, ze kdyz se zakaze autorestart v konfiguraci journald, tak to bude fungovat jako castecna obrana?

[michich]

Když jenom nastavíš Restart=no, pořád ti ho znovu spustí soketová aktivace. Tomu zabráníš stopnutím systemd-journald.socket. Potom při útoku nejspíš systemd-journald havaruje a už zůstane neaktivní.

[cleaner]

Jj, presne tak si to predstavujeme... ale blbe se overuje jestli to bude stacit. Kazdopadne dik za reakci.

[Sten]

Zatím by mělo stačit aktualizovat na systemd 240, tam není ta díra pro information leak

[cleaner]

Děkuji za radu, samozřejmě nejnovější verze systemd to již má vyřešené, ale takový skok ve verzi není pro nás schůdný postup, proto hledám nějaký způsob potlačení těchto útoků. Myslím, že většina serverů s Debian/Centos ve světě něco takového jako upgrade na nejnovější verzi projektu také nedělá - je s tím spojeno hodně práce s nejistým výsledkem, nová verze může mít nové nečekané problémy.

[R]

Debian Buster po upgrade z 239 na 240 pre istotu ani nenabootuje.

[Peter Golis]

Buster je Testing Release Debian. Ďakujeme za otestovanie.

[Bill]

all systemd-based Linux distributions are
vulnerable, but SUSE Linux Enterprise 15, openSUSE Leap 15.0, and Fedora
28 and 29 are not exploitable because their user space is compiled with
GCC's -fstack-clash-protection.

To by me zajímalo cim premyslite a radsi nechci vedet co je vase prace

[Peter Golis]

Typnem si: zdravotníctvo, jadrová energetika alebo daňový úrad.

[k3dAR]

nenapadlo te ze pouzivaji jine distro a zaroven v nem neni vhodne/mozne/chtene nahradit distribucni binarku vlastni s timto parametrem prekompilovanou?

[cleaner]

Tak updaty jiz jsou v Debianu i v CentOS/RHEL.

POZOR: updaty ani nastroje apt/yum procesy nerestartuji, takze je nutne je restartovat rucne:

 systemctl restart systemd-journald; systemctl restart systemd-udevd

Na Centosu se da zjistit seznam procesu co vyzaduji restart prikazem

 needs-restarting