The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Ещё одна уязвимость в подсистеме eBPF, позволяющая повысить свои привилегии

13.01.2022 22:08

В подсистеме eBPF выявлена ещё одна уязвимость (CVE-2022-23222), как и вчерашняя проблема позволяющая локальному непривилегированному пользователю выполнить код на уровне ядра Linux. Проблема проявляется начиная с ядра Linux 5.8 и пока остаётся неисправленной. Рабочий эксплоит обещают опубликовать 18 января.

Новая уязвимость вызвана некорректной проверкой передаваемых для выполнения eBPF-программ. В частности верификатор eBPF должным образом не ограничивал некоторые типы указателей *_OR_NULL, что давало возможность производить манипуляции с указателями из eBPF-программ и добиться повышения своих привилегий. Для блокирования эксплуатации уязвимости предлагается запретить выполнение BPF-программ непривилегированным пользователям командой "sysctl -w kernel.unprivileged_bpf_disabled=1".

  1. Главная ссылка к новости (https://www.openwall.com/lists...)
  2. OpenNews: Уязвимость в подсистеме eBPF, позволяющая выполнить код на уровне ядра Linux
  3. OpenNews: Уязвимости в eBPF, позволяющие обойти защиту от атаки Spectre 4
  4. OpenNews: Уязвимость в eBPF, позволяющая выполнить код на уровне ядра Linux
  5. OpenNews: Уязвимости в подсистеме eBPF, позволяющие выполнить код на уровне ядра Linux
  6. OpenNews: Уязвимости в подсистеме eBPF ядра Linux
Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/56504-ebpf
Ключевые слова: ebpf
Поддержать дальнейшую публикацию новостей на OpenNET.


Обсуждение (45) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 22:15, 13/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +11 +/
    Нужно срочно написать несколько новых helloworlds с использованием инструментария bumblebee!
     
  • 1.2, Пылающий танцор (?), 22:18, 13/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +10 +/
    Нет, ну как же банально, и мне больно это говорить, но всё же:
    "Это безопасно, говорили они"
     
     
  • 2.16, Аноним (-), 00:14, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    как неожиданно
     
  • 2.17, ddd2 (?), 00:36, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Где наш миллион мух  ревизоров я вас спрашиваю?

    Опять на котлеты улетели вместо ведра?

     
     
  • 3.23, Ordu (ok), 01:29, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Да вот же прямо в новости. Если бы тысячи глаз не смотрели бы в код, то никто не находил бы багов, и в новостях бы об этом не писали бы.
     
  • 3.30, john_erohin (?), 07:27, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +3 +/
    нет смысла ревизовать заведомо (или с большой вероятностью) небезопастное изделие.
    на выброс целиком, и пусть авторы делают что хотят.
    системд то же самое.
     
  • 3.35, ИмяХ (?), 10:10, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Погугли "синдром Дженовезе" и тебе тогда станет понятно, почему открытый код намного менее безопасный чем закрытый.
     

  • 1.3, Онаним (?), 22:52, 13/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    @#$%ь, ну сколько ж можно-то.
     
     
  • 2.24, Ordu (ok), 01:31, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Как обычно, пока всё не выловят.
     
  • 2.36, Аноним (36), 10:43, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • –2 +/
    что все распереживались так?
    фича новая и активно развивается, логично что будет много багов
    вспомните как user namespaces активно пилили для докеров - тоже ЛПЕ каждый месяц были.
    омачурилось - и все окей теперь
     
     
  • 3.37, Онаним (?), 11:05, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Хз, эта фича хотя бы легко выпиливается.
     
  • 3.40, Аноним (40), 12:14, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >фича новая и активно развивается

    Последние лет 5 минимум единственные новости про eBPF - это очередная CVE.

     
  • 3.44, Аноним (44), 15:15, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Проблема с BPF не в сыром коде с дырами, а в самой концепции. Даже крупные конторы за десятки лет не смогли разработать антивирус, который может нормально анализировать программы и определять вредоносные. А они считают, что могут это сделать.
    Люди усложняют загрузку произвольного кода в ядро, используют проверки цифровых подписей и т д. Здесь же они надеятся на чудо и на их проверки. Это так не работает.
     
     
  • 4.50, Аноним (50), 20:59, 15/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Всё вытекает из неразрешимости проблемы останова. Можно как угодно пытаться городить "секьюрно", но где turing complete - там невозможно проанализировать статически BPF-код и нагенерить JIT'ом чтобы безопасненько было. Можно только бесконечно закрывать всё новые и новые CVE, как было с Java.
     

  • 1.4, Онаним (?), 22:55, 13/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    У этой шляпы, если уж так не хочется её выпиливать или делать модулем, должна быть единственная и железная опция параметров ядра при загрузке: ebpf.enable=1, при отсутствии которой эта шляпа должна полностью выпиливаться из загруженного кода, не оставляя даже шансов на активацию.
     
     
  • 2.6, Аноним (6), 23:00, 13/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Bpf и ebpf_jit больше не отключаются (bpf_jit отключается), но можно убрать bpf_syscall. Этого достаточно?
     
     
  • 3.33, Онаним (?), 09:06, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    К сожалению, нет, так как могут быть косвенные механизмы, через которые получится это "счастье" эксплуатировать.
     

  • 1.8, Аноним (8), 23:02, 13/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    а мне нравится фильм "дежа вю", пересматриваю иногда. не каждый день, правда
     
     
  • 2.15, Аноним (-), 00:14, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    антитраст лучше пересмотри
     
     
  • 3.18, ddd2 (?), 00:37, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +5 +/
    who is "антит"?
     
  • 2.25, Kuromi (ok), 01:38, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    С Ежи Штур-ом?
     

  • 1.13, Анонка (?), 23:31, 13/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Ни дня без уязвимости!
     
     
  • 2.14, Аноним (14), 23:56, 13/01/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    И это ещё дело до растаманов не дошло!
     
     
  • 3.27, Анонка (?), 02:12, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +3 +/
    У них другой принцип...

    "Нет софта = нет уязвимостей"! Жеж!

     

  • 1.19, псевдонимус (?), 00:52, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Красотища! Ни дня без уязвимости.
     
  • 1.20, Аноним (20), 01:21, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Не понимаю, зачем писать о том, что является нормальным и привычным. Если бы было "Шок! Сенсация! В январе 2022 не было найдено ни одной новой eBPF!" тогда бы все такие "вау, вот это даа", а так, тьху, вообще не новость.
     
     
  • 2.21, Аноним (20), 01:22, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    "ни одной новой уязвимости в eBPF"
     

  • 1.22, Аноним (22), 01:26, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Как там было? The S in eBPF stands for Security, так ведь? :)
     
  • 1.26, Аноним (26), 01:40, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Неожиданно. Честно признаюсь, неожиданно.
     
     
  • 2.52, Аноним (8), 11:37, 17/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    молодец, что признался, это было смело и трогательно. настоящий мужик. ещё и честно признался.
     

  • 1.28, Аноним (28), 03:39, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Пора переименовывать в "подсистему уязвимостей ядра".
     
  • 1.29, Аноньимъ (ok), 06:08, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Подсистема ядра для предоставления непривилегированного доступа к ядру предоставляет непривилегированный доступ к ядру.

    А уязвимость в чём?

     
     
  • 2.31, псевдонимус (?), 08:29, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Подсистема ядра для предоставления непривилегированного доступа к ядру предоставляет
    > непривилегированный доступ к ядру.
    > А уязвимость в чём?

    Нотабуг.©

     

  • 1.32, Онаним (?), 09:03, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вообще это в перспективе кончится тем, что для следующей очередной уязвимости во встроенном бэкдоре ёBPF кто-то опубликует рабочий эксплоит, не публикуя никаких прочих деталей.
     
     
  • 2.34, псевдонимус (?), 09:47, 14/01/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Вообще это в перспективе кончится тем, что для следующей очередной уязвимости во
    > встроенном бэкдоре ёBPF кто-то опубликует рабочий эксплоит, не публикуя никаких прочих
    > деталей.

    Ну как бы так и следовало бы сделать. Зачем бесплатно помогать вредителям-внедрятлам? Так хоть себе польза будет.

     

  • 1.38, Аноним (38), 11:21, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ну их логика понятна в общем то. Это некое псевдо-микроядро. Вместо того, чтобы как в винде городить возможность каждому драйверу выполняться на уровне ядра, открывая 100500 дыр в безопасности, т.к. каждый фонарик может в легкую установить свой драйвер, они хотят сделать всего одну такую дыру, раз и навсегда проверить ее безопасность и потом уже жить спокойно. Но что то все равно выглядит дыряво.
     
  • 1.39, Рабинович (?), 11:51, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Да мне наплевать, в каждом коде можно уязвимости найти.
     
  • 1.41, Аноним (41), 12:38, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Опять?
     
  • 1.42, Аноним (42), 13:09, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Держу в курсе:
    $ cat /proc/sys/kernel/unprivileged_bpf_disabled
    1
     
     
  • 2.49, pavlinux (ok), 18:13, 15/01/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    cat /proc/sys/kernel/unprivileged_bpf_disabled
    cat: /proc/sys/kernel/unprivileged_bpf_disabled: Нет такого файла или каталога


    Да что ж такое-то ....

     

  • 1.43, Аноним (43), 14:12, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Присвоили CVE-2022-23222: https://nvd.nist.gov/vuln/detail/CVE-2022-23222
     
  • 1.46, Аноним (46), 17:08, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Чет BSD код в линуксе не прижился, наверное лицензия не та.
     
  • 1.47, Аноним (47), 22:21, 14/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это одна большая дыра. Сразу это было понятно.
     
  • 1.48, Анонка (?), 12:33, 15/01/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    НаёBPF
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:
    При перепечатке указание ссылки на opennet.ru обязательно



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2022 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру