Linux çekirdeğinde, kapsayıcı ana bilgisayarında rastgele komutlar yürütmek üzere bir kapsayıcıdan kaçmak için kötüye kullanılabilecek, şu anda yamalı yüksek önemde bir güvenlik açığı hakkında ayrıntılar ortaya çıktı.
Eksiklik, adı verilen bir Linux çekirdeği özelliğinde bulunur. kontrol gruplarıcgroups sürüm 1 (v1) olarak da anılan, işlemlerin hiyerarşik gruplar halinde düzenlenmesine olanak tanıyarak CPU, bellek, disk G/Ç ve ağ gibi kaynakların kullanımını etkin bir şekilde sınırlandırmayı ve izlemeyi mümkün kılar.
olarak izlendi CVE-2022-0492 (CVSS puanı: 7.0), konu endişeler a durum ile ilgili ayrıcalık yükseltme cgroups v1 release_agent işlevinde, cgroup’taki herhangi bir işlemin sonlandırılmasının ardından yürütülen bir komut dosyası.
42. Ünite araştırmacısı Yuval Avrahami, “Sorun, son zamanlarda keşfedilen en basit Linux ayrıcalık artışlarından biri olarak öne çıkıyor: Linux çekirdeği yanlışlıkla ayrıcalıklı bir işlemi ayrıcalıksız kullanıcılara teşhir etti.” dedim Bu hafta yayınlanan bir raporda.
bu adam sayfası for cgroups işlevini şu şekilde açıklar:
Release_agent programının belirli bir grup boşaldığında çağrılıp çağrılmayacağı, ilgili grup dizinindeki notify_on_release dosyasındaki değer tarafından belirlenir. Bu dosya 0 değerini içeriyorsa, release_agent programı çağrılmaz. 1 değerini içeriyorsa, release_agent programı çağrılır. Bu dosyanın kök grubundaki varsayılan değeri 0’dır.
Özellikle, Palo Alto Networks tehdit istihbarat ekibi, hatanın, release_agent dosyasını ayarlayan işlemin yönetici ayrıcalıklarına sahip olup olmadığını kontrol etmek için eksik doğrulamanın bir sonucu olduğunu ve böylece onu potansiyel istismar için olgunlaştırdığını kaydetti.
Başka bir deyişle, bu release_agent dosyasının üzerine bir saldırgan tarafından yazılırsa, çekirdek, sürüm aracısında mümkün olan en yüksek izinlere sahip rastgele bir ikili dosyayı çağırmaya zorlanabilir – bu, makinenin tamamen ele geçirilmesine etkin bir şekilde izin verebilecek bir senaryo.
Ancak, yalnızca “kök” ayrıcalıklarına sahip işlemlerin dosyaya yazabileceğini, yani güvenlik açığının yalnızca kök işlemlerin ayrıcalıkları yükseltmesine izin verdiğini belirtmekte fayda var.
Avrahami, “İlk bakışta, yalnızca kök kullanıcı tarafından kullanılabilen bir ayrıcalık yükseltme güvenlik açığı tuhaf görünebilir,” dedi. “Kök olarak çalıştırmak, mutlaka makine üzerinde tam kontrol anlamına gelmez: Kök kullanıcı ile yetenekleri, ad alanlarını ve kapsayıcıları içeren tam ayrıcalıklar arasında gri bir alan vardır. Bir kök işleminin makine üzerinde tam denetime sahip olmadığı bu senaryolarda , CVE-2022-0492 ciddi bir güvenlik açığı haline geliyor.”
Konteynerler ile çalışmasına rağmen Uygulama Zırhı veya SELinux kusurdan korunur, kullanıcıların uygulamak en yamalar ayrıcalıkları yükseltmek için diğer kötü niyetli ana bilgisayar süreçleri tarafından kötüye kullanılabileceği gerçeği ışığında.
Bu, release_agent’ın bir saldırı vektörü olarak ilk ortaya çıkışından çok uzak. Temmuz 2017’de Google Project Zero araştırmacısı Felix Wilhelm gösterdi ayrıcalıklı Kubernetes ve Docker kapsayıcılarından çıkmak için bu özellikten yararlanan “hızlı ve kirli” bir kavram kanıtı (PoC) istismarı.
Ardından Kasım 2021’de bulut güvenlik şirketi Aqua ifşa XMRig madeni para madencisini virüslü ana bilgisayarlara bırakmak için aynı konteyner kaçış tekniğini kullanan bir kripto para birimi madenciliği kampanyasının ayrıntıları, bu onu gerçek dünya sömürüsünün ilk kaydedilen örneği haline getiriyor.
Avrahami, “CVE-2022-0492, konteyner kaçışı için kullanılabilecek başka bir Linux güvenlik açığına işaret ediyor” dedi. “Neyse ki, en iyi uygulamaları takip eden ortamlar bu güvenlik açığından korunuyor. Güvenilmeyen veya herkese açık kapsayıcıları barındıran gevşek güvenlik denetimlerine sahip ortamlar, şaşırtıcı olmayan bir şekilde yüksek risk altındadır.”
