Thông tin chi tiết đã xuất hiện về một lỗ hổng có mức độ nghiêm trọng cao hiện đã được vá trong nhân Linux có khả năng bị lạm dụng để thoát khỏi vùng chứa nhằm thực thi các lệnh tùy ý trên máy chủ chứa.
Sự thiếu sót nằm ở một tính năng nhân Linux được gọi là nhóm điều khiển, còn được gọi là cgroups phiên bản 1 (v1), cho phép các tiến trình được tổ chức thành các nhóm phân cấp, giúp hạn chế và giám sát việc sử dụng các tài nguyên như CPU, bộ nhớ một cách hiệu quả. , I / O đĩa và mạng.
Được theo dõi là CVE-2022-0492 (điểm CVSS: 7,0), vấn đề liên quan đến trường hợp leo thang đặc quyền trong chức năng cgroups v1 release_agent, một tập lệnh được thực thi sau khi kết thúc bất kỳ quá trình nào trong cgroup.
Nhà nghiên cứu Yuval Avrahami của Đơn vị 42 cho biết trong một báo cáo được công bố trong tuần này: “Vấn đề nổi bật là một trong những sự cố leo thang đặc quyền Linux đơn giản nhất được phát hiện trong thời gian gần đây: Nhân Linux tiếp xúc nhầm một hoạt động đặc quyền cho người dùng không có đặc quyền”.
Trang người đàn ông cho cgroups giải thích chức năng của nó như sau:
Chương trình release_agent có được gọi hay không khi một nhóm cụ thể trở nên trống được xác định bởi giá trị trong tệptify_on_release trong thư mục cgroup tương ứng. Nếu tệp này chứa giá trị 0, thì chương trình release_agent không được gọi. Nếu nó chứa giá trị 1, chương trình release_agent được gọi. Giá trị mặc định cho tệp này trong cgroup gốc là 0.
Cụ thể, nhóm tình báo về mối đe dọa của Palo Alto Networks lưu ý rằng lỗi này là hậu quả của việc thiếu xác minh để kiểm tra xem quá trình thiết lập tệp release_agent có đặc quyền quản trị hay không, từ đó làm cho nó chín muồi để khai thác tiềm năng.
Nói cách khác, nếu tệp release_agent này bị kẻ tấn công ghi đè, hạt nhân có thể bị buộc phải gọi một tệp nhị phân tùy ý được cấu hình trong tác nhân phát hành với quyền cao nhất có thể – một kịch bản có thể cho phép tiếp quản hoàn toàn máy một cách hiệu quả.
Tuy nhiên, cần lưu ý rằng chỉ các quy trình có đặc quyền “root” mới có thể ghi vào tệp, có nghĩa là lỗ hổng bảo mật chỉ cho phép các quy trình gốc nâng cao đặc quyền.
Avrahami giải thích: “Thoạt nhìn, một lỗ hổng leo thang đặc quyền chỉ có thể được khai thác bởi người dùng root có vẻ kỳ lạ”. “Chạy với quyền root không nhất thiết có nghĩa là có toàn quyền kiểm soát máy: Có một vùng màu xám giữa người dùng root và các đặc quyền đầy đủ bao gồm các khả năng, không gian tên và vùng chứa. Trong những trường hợp này, quá trình root không có toàn quyền kiểm soát máy , CVE-2022-0492 trở thành một lỗ hổng nghiêm trọng. “
Mặc dù các vùng chứa chạy với AppArmor hoặc SELinux được bảo vệ khỏi lỗ hổng này, nhưng người dùng được khuyến nghị áp dụng các bản vá lỗi vì nó có thể bị lạm dụng bởi các quy trình máy chủ độc hại khác để nâng cao đặc quyền.
Đây không phải là lần đầu tiên release_agent xuất hiện như một vector tấn công. Vào tháng 7 năm 2017, nhà nghiên cứu Felix Wilhelm của Google Project Zero đã chứng minh một phương pháp khai thác bằng chứng khái niệm (PoC) “nhanh chóng và bẩn thỉu” tận dụng tính năng này để thoát ra khỏi các vùng chứa Kubernetes và Docker đặc quyền.
Sau đó vào tháng 11 năm 2021, công ty bảo mật đám mây Aqua đã tiết lộ chi tiết về một chiến dịch khai thác tiền điện tử sử dụng cùng một kỹ thuật thoát vùng chứa chính xác để thả công cụ khai thác tiền XMRig trên các máy chủ bị nhiễm bệnh, khiến nó trở thành trường hợp khai thác trong thế giới thực được ghi nhận đầu tiên.
“CVE-2022-0492 đánh dấu một lỗ hổng Linux khác có thể bị khai thác để thoát vùng chứa”, Avrahami kết luận. “May mắn thay, các môi trường tuân theo các phương pháp hay nhất được bảo vệ khỏi lỗ hổng bảo mật này. Các môi trường có kiểm soát bảo mật lỏng lẻo lưu trữ các vùng chứa không đáng tin cậy hoặc bị lộ công khai, không có gì đáng ngạc nhiên, có rủi ro cao.”
.
