Privilegie-eskaleringssårbarhet i Linux, *BSD og Solaris

Publisert: 20.06.2017

Sikkerhetsselskapet Qualys kunngjorde i går at det har funnet en sårbarhet som berører en rekke av operativsystemer

Det er oppdaget en sårbarhet som har fått kallenavnet "The Stack Clash" som omhandler minnehåndteringen til Linux, OpenBSD, NetBSD og Solaris på både 32- og 64-bits-platformer. "The Stack Clash" kan bli benyttet av ondsinnede aktører for lokal eskalering av privilegier.

Sårbarheten er oppdaget av sikkerhetsfirmaet Qualys [1]. "The Stack Clash" går ikke mot en spesifikk applikasjon, men hvordan de respektive operativsystemene håndterer tildeling av minne. Dersom minneområdene til to forskjellige applikasjoner ligger nært hverandre i fysisk minne kan man utnytte sårbarheten til å skrive i minneområdet til den nærliggende applikasjonen. Qualys har klart å benytte sårbarheten til å eskalere privilegier.

Teknisk beskrivelse

Qualys viser at mekanismene operativsystemene har for å forhindre denne typen sårbarheter, "stack guard-page", ikke er tilstrekkelige. Dette er ett minneområde som ligger mellom minneområdene til
applikasjoner og reagerer dersom man forsøker å få tilgang til dette området. Det vil være ett tegn på at applikasjonen går utenfor sitt minneområde. Sårbarheten går ut på at mange lett tilgjengelige programmer på de sårbare systemene bruker store mengder minne som ikke blir lest fra eller skrevet til. Da kan man "hoppe over" "stack guard-page" beskyttelsen og få adgang til minne lengre ute i det andre programmets minneområde.

Dersom det andre programmet har root privilegier kan man utnytte skrivetilgangen til programmets minne til å gi egen bruker root tilgang. Qualys har brukt sårbarheten til å eskalere vellykkede privilegier gjennom følgende programmer: Exim, Sudo, ld,so, su, at og rsh.

Det er per i dag ikke funnet måter å utnytte denne sårbarheten uten ha ha lokal tilgang. Man kan likevel ikke utelukke at det vil være mulig å utnytte sårbarheten over internett.

Tiltak

Vi anbefaler alle med sårbare operativsystemer å installere de nyeste oppdateringene. De fleste distributørene har kommet med bl.a. kernel-oppdateringer for å rette sårbarheten.

CVE-referanser

  • CVE-2017-1000365
  • CVE-2017-1000366
  • CVE-2017-1000367
  • CVE-2017-1000369
  • CVE-2017-1000370
  • CVE-2017-1000371
  • CVE-2017-1000372
  • CVE-2017-1000373
  • CVE-2017-1000374
  • CVE-2017-1000375
  • CVE-2017-1000376
  • CVE-2017-1000377
  • CVE-2017-1000379
  • CVE-2017-1083
  • CVE-2017-1084
  • CVE-2017-1085
  • CVE-2017-3629
  • CVE-2017-3630
  • CVE-2017-3631
  1. https://blog.qualys.com/securitylabs/2017/06/19/the-stack-clash