A Linux disztribúciókat az RCE sebezhetősége érte a Shim Bootloaderben

A Linux disztribúciókat az RCE sebezhetősége érte a Shim Bootloaderben

Időbélyeg: 7. február 2024. 5:17
A Linux disztribúciókat az RCE sebezhetősége érte a Shim Bootloader PlatoBlockchain Data Intelligence programjában. Függőleges keresés. Ai.

A Linux shim, egy kis kódrészlet, amelyet sok nagy Linux disztribúció használ a biztonságos rendszerindítási folyamat során, tartalmaz egy távoli kódfuttatási sebezhetőséget, amely lehetővé teszi a támadók számára, hogy teljes mértékben átvegyék az irányítást az érintett rendszerek felett.

Minden Linux disztribúció, amely támogatja a biztonságos rendszerindítást, beleértve Red Hat, Ubuntu, Debbian, és a SUSE érintettek a CVE-2023-40547 jelű hiba miatt. A hiba a legsúlyosabb a Linux alátét hat sérülékenysége közül, amelyeket karbantartója, a Red Hat a közelmúltban nyilvánosságra hozott – és amelyre frissítést adott ki (alátét 15.8). Bill Demirkapi, a Microsoft Security Response Center kutatója, aki felfedezte a hibát, és jelentette a Red Hatnek, a következőképpen írta le. az elmúlt évtizedben aláírt összes Linux rendszerbetöltő.

Határon kívüli írási hiba

Tanácsadójában a Red Hat azt mondta, hogy a hiba azzal kapcsolatos, hogy a rendszerindító kód megbízik a támadó által vezérelt értékekben a HTTP-válasz elemzésekor. "Ez a hiba lehetővé teszi a támadók számára, hogy egy adott rosszindulatú HTTP-kérést hozzanak létre, ami egy teljesen ellenőrzött, határokon kívüli írásprimitív és teljes rendszerkompromittációhoz vezet."

A National Vulnerability Database (NVD) és a Red Hat némileg eltérően értékelte a sérülékenység súlyosságát és kihasználhatóságát. A Az NVD hozzárendelte a hibát a CVSS 9.8-es skálán közel 10/3.1-es súlyossági besorolást kapott, és úgy azonosította, hogy a támadó kis bonyolultsággal és felhasználói beavatkozást vagy jogosultságokat nem igényel a hálózaton keresztül.

A Red Hat szerényebb, 8.3-as súlyossági pontszámot adott a hibának, és csak egy szomszédos hálózaton keresztül használható ki, és nagy támadási komplexitást jelent. Ez egy olyan értékelés volt, amelyet a többi érintett Linux disztribúció karbantartói megosztottak az Ubuntuval, például a CVE-2023-40547-et „közepes” súlyosságú hibának nevezték, a SUSE pedig „fontos” minősítést adott neki, amely általában egy fokkal alacsonyabb a kritikusnál.

A Red Hat a következőképpen magyarázta a különböző súlyossági pontszámokat: „A nyílt forráskódú összetevők CVSS-pontszámai a gyártó-specifikus tényezőktől (pl. verzió vagy összeállítási lánc) függnek. Ezért a Red Hat pontszáma és hatásértékelése eltérhet az NVD-től és más gyártóktól.” Az NVD és a Red Hat azonban egyetértett abban, hogy a sebezhetőség nagy hatással van az adatok bizalmas kezelésére, integritására és elérhetőségére.

A shim bootloader alapvetően egy kis alkalmazás, amely az operációs rendszer fő rendszerbetöltője előtt töltődik be az Unified Extensible Firmware Interface (UEFI) alapú rendszereken. Hídként működik az UEFI firmware és az operációs rendszer fő rendszerbetöltői között, ami Linux esetén általában GRUB vagy rendszerindítás. Feladata az operációs rendszer fő rendszerbetöltőjének ellenőrzése, mielőtt betöltené és futtatná.

Több támadás vektor

A kutatók a szoftver ellátási lánc Az Eclypsium biztonsági szállító azonosítva három különböző út hogy a támadó kihasználja a biztonsági rést. Az egyik egy man-in-the-middle (MiTM) támadás, ahol az ellenfél elfogja a HTTP-forgalmat az áldozat és a HTTP-kiszolgáló között, amely a HTTP-indítást támogató fájlokat szolgálja ki. "A támadó bármely hálózati szegmensen megtalálható az áldozat és a legitim szerver között."

A sebezhető rendszeren elegendő jogosultsággal rendelkező támadó helyileg is kihasználhatja a biztonsági rést az Extensible Firmware Interface (EFI) változókban vagy az EFI-partíciókon lévő adatok manipulálásával. „Ez egy élő Linux USB pendrive segítségével megvalósítható. A rendszerindítási sorrend ezután módosítható úgy, hogy egy távoli és sebezhető alátét kerül a rendszerre.”

Az Eclypsium szerint egy támadó, amely ugyanazon a hálózaton van, mint az áldozat, manipulálhatja a rendszerindítás előtti végrehajtási környezetet, hogy láncba töltse a sebezhető alátét rendszerbetöltőt. "A sérülékenységet kihasználó támadó a rendszermag betöltése előtt megszerzi az irányítást a rendszer felett, ami azt jelenti, hogy kiváltságos hozzáféréssel rendelkezik, és képes megkerülni a kernel és az operációs rendszer által megvalósított vezérlőket" - jegyezte meg a gyártó.

Túlzott súlyosság?

Egyes biztonsági szakértők azonban úgy vélték, hogy a sérülékenység nagyfokú bonyolultságot és véletlenszerű kihasználást igényel. Lionel Litty, a Menlo Security vezető biztonsági mérnöke szerint a kihasználási léc magas, mert a támadónak már rendszergazdai jogosultságokkal kell rendelkeznie egy sebezhető eszközön. Vagy olyan eszközt kell megcélozniuk, amely hálózati rendszerindítást használ, és képesnek kell lennie a köztes támadás végrehajtására a megcélzott eszköz helyi hálózati forgalmára.

„A sebezhetőséget megtaláló kutató szerint a helyi támadó módosíthatja az EFI-partíciót, hogy módosítsa a rendszerindítási sorrendet, hogy aztán kihasználhassa a sebezhetőséget” – mondja Litty. „[De] az EFI-partíció módosításához teljes jogosultságokkal rendelkező rendszergazdának kell lenni az áldozat gépen” – mondja.

Ha az eszköz hálózati rendszerindítást használ, és a támadó MITM-et tud végezni a forgalomra, akkor ekkor tudja megcélozni a puffertúlcsordulást. „Hibás formájú HTTP-választ adnának vissza, amely kiváltja a hibát, és ezen a ponton átadja nekik az irányítást a rendszerindítási sorrend felett” – mondja Litty. Hozzáteszi, hogy a HTTP rendszerindítást vagy a rendszerindítás előtti végrehajtási környezetet (PXE) használó gépekkel foglalkozó szervezeteknek aggódniuk kell, különösen akkor, ha a rendszerindító szerverrel való kommunikáció olyan környezetben zajlik, ahol az ellenfél beilleszkedhet a forgalom közepébe.

Shachar Menashe, a JFrog biztonsági kutatási részlegének vezető igazgatója szerint a Red Hat értékelése a sebezhetőség súlyosságáról pontosabb, mint az NVD-k „túltúlzott” pontszáma.

Az eltérésnek két magyarázata lehet – mondja. „Az NVD a leírásban szereplő kulcsszavak alapján adta meg a pontszámot, nem pedig a sebezhetőség alapos elemzését” – mondja. Például, ha feltételezzük, hogy a „rosszindulatú HTTP-kérés” automatikusan hálózati támadási vektort jelent.

Az NVD egy rendkívül valószínűtlen legrosszabb forgatókönyvre is utalhat, amikor az áldozat gép már be van állítva a HTTP-n keresztüli rendszerindításra a helyi hálózaton kívüli szerverről, és a támadó már rendelkezik a HTTP-kiszolgáló felett. „Ez egy rendkívül valószínűtlen forgatókönyv, amely rengeteg bajt okozna, még akkor is, ha nem kapcsolódik ehhez a CVE-hez” – mondja Shachar.

Időbélyeg:

Még több Sötét olvasmány