ClickCease La vulnérabilité StackRot dans le noyau Linux permet une escalade des privilèges

Table des matières

Rejoignez notre populaire bulletin d'information

Rejoignez 4 500+ professionnels de Linux et de l'Open Source !

2 fois par mois. Pas de spam.

La vulnérabilité StackRot dans le noyau Linux permet une escalade des privilèges

Rohan Timalsina

Le 18 juillet 2023 - L'équipe d'experts de TuxCare

Une nouvelle vulnérabilité, appelée StackRot, a été découverte par un chercheur en sécurité, Ruihan Li, dans le sous-système de gestion de la mémoire du noyau Linux. La gestion incorrecte des verrous pour l'accès et la mise à jour des zones de mémoire virtuelle (VMA) a entraîné une faille de type "use-after-free". Un attaquant peut utiliser cette faille pour permettre l'exécution d'un code arbitraire du noyau, escalader les conteneurs et acquérir les privilèges de l'utilisateur root.

Vulnérabilité de StackRot (CVE-2023-3269)

Selon BleepingComputer, StackRot est le résultat de la façon dont le noyau Linux gère l'expansion de la pile dans son sous-système de gestion de la mémoire, en particulier en ce qui concerne les zones de mémoire virtuelle (VMA).

La vulnérabilité se produit dans l'arbre d'érable, un système de structure de données nouvellement introduit pour gérer les zones de mémoire virtuelle (VMA). Ce système remplace les anciens "arbres rouges-noirs" et s'appuie sur le mécanisme de lecture-copie-mise à jour (RCU). Le problème se pose lorsque l'arbre d'érable remplace un nœud sans obtenir le verrou d'écriture nécessaire à la gestion de la mémoire (MM).

Comme le noyau Linux élimine l'écart entre les VMA pendant le processus d'expansion de la pile, un nouveau nœud est créé dans l'arbre d'érable. Dans le même temps, l'ancien nœud est marqué pour être supprimé une fois que les lectures en cours sont terminées, conformément aux principes de sécurité RCU de l'arbre d'érable.

Cependant, un problème critique se pose pendant la période de grâce de l'URC, où un problème d'utilisation après libération peut se produire si un processus accède à l'ancien nœud. Par conséquent, un attaquant peut écraser la mémoire et élever les privilèges.

Linus Torvalds améliore l'expansion de la pile en mode utilisateur de Linux

Linus Torvalds, le créateur de Linux, n'écrit plus autant de code pour le noyau qu'auparavant. Aujourd'hui, il se concentre davantage sur la supervision de la communauté de développement du noyau en amont, la révision du code, la gestion des versions et la participation aux discussions sur les listes de diffusion. Cependant, il s'adonne encore occasionnellement à des travaux de piratage de bas niveau, comme il l'a fait récemment avec le code d'expansion de la pile en mode utilisateur pour Linux 6.5.

Linux Torvalds a déclaré que le code d'expansion de la pile en mode utilisateur avait été modifié pour s'assurer que le verrou mmap_lock est toujours acquis pour l'écriture avant d'apporter des modifications à l'agencement de la VM. Le processus reste relativement simple : il suffit d'ajuster le vm_start (ou le vm_end dans le cas des piles croissantes) et de mettre en œuvre un verrouillage ad hoc spécialisé à l'aide de la fonction anon_vma lock et le mm->page_table_lock.

Cependant, Ruihan Li a attiré leur attention sur le fait qu'avec l'introduction du code de l'arbre d'érable dans la disposition du vma, la modification des seuls vm_start et vm_end n'est plus suffisante, et le mécanisme de verrouillage existant est défectueux.

Selon Ruihan Li, l'exploitation de StackRot pose un défi considérable, et CVE-2023-3269 pourrait constituer le premier exemple documenté d'une vulnérabilité potentiellement exploitable de type "use-after-free-by-RCU" (UAFBR). Le chercheur a annoncé son intention de divulguer les détails techniques complets de StackRot, ainsi qu'un exploit de preuve de concept (PoC), d'ici la fin du mois de juillet.

Conclusion

Bien que le noyau Linux 6.1 soit la version de support à long terme (LTS), les principales distributions Linux ne l'ont pas toutes implémentée. Par exemple, Ubuntu 22.04.2 LTS (Jammy Jellyfish), qui est pris en charge jusqu'en avril 2027, est livré avec le noyau Linux 5.19. La dernière version de Debian, Debian 12 (Bookworm), inclut le noyau Linux 6.1. En outre, la vulnérabilité StackRot ne s'applique pas aux versions du noyau livrées avec Red Hat Enterprise Linux, car le code affecté n'a pas été introduit dans ces plateformes.

 

Les sources de cet article comprennent un article de BleepingComputer.

Résumé
La vulnérabilité StackRot dans le noyau Linux permet une escalade des privilèges
Nom de l'article
La vulnérabilité StackRot dans le noyau Linux permet une escalade des privilèges
Description
Une nouvelle vulnérabilité StackRot a été découverte par un chercheur en sécurité, Ruihan Li, dans le sous-système de gestion de la mémoire du noyau Linux.
Auteur
Nom de l'éditeur
TuxCare
Logo de l'éditeur

Vous cherchez à automatiser la correction des vulnérabilités sans redémarrage du noyau, temps d'arrêt du système ou fenêtres de maintenance programmées ?

Découvrez le Live Patching avec TuxCare

Devenez rédacteur invité de TuxCare

Commencer

Courrier

Rejoindre

4,500

Professionnels de Linux et de l'Open Source
!

S'abonner à
notre lettre d'information