StackRot-Schwachstelle im Linux-Kernel ermöglicht Privilegienausweitung

Der Sicherheitsforscher Ruihan Li entdeckte eine neue Sicherheitslücke namens StackRot im Speicherverwaltungssubsystem des Linux-Kernels. Die fehlerhafte Behandlung von Sperren für den Zugriff auf und die Aktualisierung von virtuellen Speicherbereichen (VMAs) führte zu einem Use-after-free-Fehler. Ein Angreifer kann diesen Fehler ausnutzen, um die Ausführung von beliebigem Kernel-Code zu ermöglichen, Container zu eskalieren und Root-Rechte zu erlangen.

StackRot-Sicherheitslücke (CVE-2023-3269)

Laut BleepingComputer ist StackRot eine Folge der Art und Weise, wie der Linux-Kernel die Stack-Erweiterung innerhalb seines Speichermanagement-Subsystems verwaltet, insbesondere in Bezug auf virtuelle Speicherbereiche (VMAs).

Die Schwachstelle tritt im Ahornbaum auf, einem neu eingeführten Datenstruktursystem zur Verwaltung virtueller Speicherbereiche (VMAs). Dieses System ersetzt die früheren "rot-schwarzen Bäume" und stützt sich auf den Mechanismus der Lese-Kopie-Aktualisierung (RCU). Das Problem tritt auf, wenn der Ahornbaum einen Knoten ersetzt, ohne die erforderliche Schreibsperre der Speicherverwaltung (MM) zu erhalten.

Da der Linux-Kernel die Lücke zwischen VMAs während des Stack-Erweiterungsprozesses beseitigt, wird ein neuer Knoten im Maple-Baum erstellt. Gleichzeitig wird der alte Knoten zur Löschung markiert, sobald die laufenden Lesevorgänge abgeschlossen sind, was den RCU-Sicherheitsgrundsätzen des Maple-Baums entspricht.

Ein kritisches Problem ergibt sich jedoch während der RCU-Frist, in der ein Use-after-free-Problem auftreten kann, wenn ein Prozess auf den alten Knoten zugreift. Infolgedessen kann ein Angreifer Speicher überschreiben und seine Privilegien erhöhen.

Linus Torvalds verbessert die Erweiterung des User-Mode-Stacks von Linux

Linus Torvalds, der Erfinder von Linux, schreibt nicht mehr so viel Kernel-Code wie früher. Heutzutage konzentriert er sich mehr auf die Überwachung der Upstream-Kernel-Entwicklungsgemeinschaft, die Überprüfung von Code, die Verwaltung von Veröffentlichungen und die Teilnahme an Diskussionen auf Mailinglisten. Gelegentlich macht er sich aber immer noch die Hände schmutzig, wenn es darum geht, den Kernel auf niedriger Ebene zu hacken, wie kürzlich bei der Erweiterung des User-Mode-Stacks für Linux 6.5.

Linux Torvalds sagte, dass der Code für die Stack-Erweiterung im Benutzermodus geändert wurde, um sicherzustellen, dass das mmap_lock immer für das Schreiben erworben wird, bevor Änderungen am VM-Layout vorgenommen werden. Der Prozess blieb relativ einfach, indem man einfach den vm_start (oder vm_end im Falle von grow-up Stacks) anpasste und ein spezielles ad-hoc Locking mit der anon_vma lock und die mm->page_table_lock.

Ruihan Li machte sie jedoch darauf aufmerksam, dass mit der Einführung des Ahornbaum-Codes im vma-Layout die Änderung von vm_start und vm_end allein nicht mehr ausreicht und der bestehende Sperrmechanismus fehlerhaft ist.

Laut Ruihan Li stellt die Ausnutzung von StackRot eine beträchtliche Herausforderung dar, und CVE-2023-3269 könnte als erstes dokumentiertes Beispiel für eine potenziell ausnutzbare Use-after-free-by-RCU (UAFBR)-Schwachstelle dienen. Der Forscher hat angekündigt, dass er die umfassenden technischen Details von StackRot zusammen mit einem Proof-of-Concept (PoC)-Exploit bis Ende Juli veröffentlichen will.

Schlussfolgerung

Obwohl Linux-Kernel 6.1 die Long-Term-Support-Version (LTS) ist, haben nicht alle großen Linux-Distributionen diese Version implementiert. Zum Beispiel wird Ubuntu 22.04.2 LTS (Jammy Jellyfish), das bis April 2027 unterstützt wird, mit Linux-Kernel 5.19 ausgeliefert. Die neueste Debian-Version, Debian 12 (Bookworm), enthält den Linux-Kernel 6.1. Darüber hinaus gilt die StackRot-Schwachstelle nicht für Kernel-Versionen, die mit Red Hat Enterprise Linux ausgeliefert werden, da der betroffene Code nicht in diese Plattformen eingeführt wurde.

Die Quellen für diesen Artikel sind unter anderem ein Bericht von BleepingComputer.

Zusammenfassung

Artikel Name

StackRot-Schwachstelle im Linux-Kernel ermöglicht Privilegienausweitung

Beschreibung

Der Sicherheitsforscher Ruihan Li hat eine neue StackRot-Schwachstelle im Speicherverwaltungssubsystem des Linux-Kernels entdeckt.

Autor

Rohan Timalsina

Name des Herausgebers

TuxCare

Logo des Herausgebers