Linux Kernel 3.10.28/3.12.9/3.13.1 net/compat.c compat_sys_recvmmsg erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.0$0-$5k0.00

Zusammenfassunginfo

In Linux Kernel 3.10.28/3.12.9/3.13.1 wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Hiervon betroffen ist die Funktion compat_sys_recvmmsg der Datei net/compat.c. Dank der Manipulation mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2014-0038 gelistet. Die Umsetzung des Angriffs hat dabei lokal zu erfolgen. Ferner existiert ein Exploit. Es empfiehlt sich, einen Patch einzuspielen, um dieses Problem zu beheben.

Detailsinfo

Eine kritische Schwachstelle wurde in Linux Kernel 3.10.28/3.12.9/3.13.1 (Operating System) gefunden. Dies betrifft die Funktion compat_sys_recvmmsg der Datei net/compat.c. Durch Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-20. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

The compat_sys_recvmmsg function in net/compat.c in the Linux kernel before 3.13.2, when CONFIG_X86_X32 is enabled, allows local users to gain privileges via a recvmmsg system call with a crafted timeout pointer parameter.

Gefunden wurde das Problem am 31.01.2014. Die Schwachstelle wurde am 28.01.2014 durch pageexec als Bug 338594 in Form eines bestätigten Mailinglist Posts (oss-sec) herausgegeben. Bereitgestellt wird das Advisory unter seclists.org. Die Verwundbarkeit wird seit dem 03.12.2013 mit der eindeutigen Identifikation CVE-2014-0038 gehandelt. Die Schwachstelle ist relativ beliebt, und dies trotz ihrer hohen Komplexität. Umgesetzt werden muss der Angriff lokal. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Der folgende Code ist die Ursache des Problems: 

asmlinkage long compat_sys_recvmmsg(int fd,
   struct compat_mmsghdr __user *mmsg,
   unsigned int vlen, unsigned int flags,
   struct compat_timespec __user *timeout)
{
   int datagrams;
   struct timespec ktspec;

   if (flags & MSG_CMSG_COMPAT)
      return -EINVAL;

   if (COMPAT_USE_64BIT_TIME)
      return __sys_recvmmsg(fd, (struct mmsghdr __user *)mmsg, vlen,
         flags | MSG_CMSG_COMPAT,
         (struct timespec *) timeout);
Das Advisory weist darauf hin:
The timeout pointer parameter is provided by userland (hence the __user annotation) but for x32 syscalls it's simply cast to a kernel pointer and is passed to __sys_recvmmsg which will eventually directly dereference it for both reading and writing. Other callers to __sys_recvmmsg properly copy from userland to the kernel first. The impact is a sort of arbitrary kernel write-where-what primitive by unprivileged users where the to-be-written area must contain valid timespec data initially (the first 64 bit long field must be positive and the second one must be < 1G).

Ein öffentlicher Exploit wurde durch pageexec in ANSI C umgesetzt und direkt nach dem Advisory veröffentlicht. Unter exploit-db.com wird der Exploit zum Download angeboten. Er wird als hoch funktional gehandelt. Der Preis als 0-Day war auf dem Schwarzmarkt etwa $5k-$25k. Für den Vulnerability Scanner Nessus wurde am 20.02.2014 ein Plugin mit der ID 72591 (Slackware 14.1 : kernel (SSA:2014-050-03)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Slackware Local Security Checks zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 166761 (OpenSuSE Security Update for Kernel (openSUSE-SU-2014:0204-1)) zur Prüfung der Schwachstelle an.

Die Schwachstelle lässt sich durch das Einspielen eines Patches lösen. Dieser kann von seclists.org bezogen werden. Das Erscheinen einer Gegenmassnahme geschah 4 Wochen nach der Veröffentlichung der Schwachstelle. Es wurde so noch im Rahmen gehandelt. Die Schwachstelle wird durch folgenden Code angegangen:

--- a/net/compat.c  2014-01-20 12:36:54.372997752 +0100
+++ b/net/compat.c      2014-01-28 02:06:59.265506171 +0100
@@ -780,22 +780,25 @@
    if (flags & MSG_CMSG_COMPAT)
       return -EINVAL;

-   if (COMPAT_USE_64BIT_TIME)
-      return __sys_recvmmsg(fd, (struct mmsghdr __user *)mmsg, vlen,
-         flags | MSG_CMSG_COMPAT,
-         (struct timespec *) timeout);
-
    if (timeout == NULL)
                return __sys_recvmmsg(fd, (struct mmsghdr __user *)mmsg, vlen,
                                      flags | MSG_CMSG_COMPAT, NULL);

-   if (get_compat_timespec(&ktspec, timeout))
+   if (COMPAT_USE_64BIT_TIME) {
+      if (copy_from_user(&ktspec, timeout, sizeof(ktspec)))
+         return -EFAULT;
+      } else if (get_compat_timespec(&ktspec, timeout))
          return -EFAULT;

       datagrams = __sys_recvmmsg(fd, (struct mmsghdr __user *)mmsg, vlen,
                                   flags | MSG_CMSG_COMPAT, &ktspec);
-      if (datagrams > 0 && put_compat_timespec(&ktspec, timeout))
-         datagrams = -EFAULT;
+      if (datagrams > 0) {
+         if (COMPAT_USE_64BIT_TIME) {
+            if (copy_to_user(timeout, &ktspec, sizeof(ktspec)))
+               datagrams = -EFAULT;
+      } else if (put_compat_timespec(&ktspec, timeout))
+         datagrams = -EFAULT;
+   }

    return datagrams;
 }
Das Advisory stellt fest:
The bug was introduced by commit http://git.kernel.org/linus/ee4fa23c4b (other uses of COMPAT_USE_64BIT_TIME seem fine) and should affect all kernels since 3.4 (and perhaps vendor kernels if they backported x32 support along with this code). Note that CONFIG_X86_X32_ABI gets enabled at build time and only if CONFIG_X86_X32 is enabled and ld can build x32 executables.

Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (31305), Tenable (72591), SecurityFocus (BID 64781†), OSVDB (102749†) und Secunia (SA56549†) dokumentiert. Die Einträge VDB-7901, VDB-12786 und VDB-66114 sind sehr ähnlich. Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

Video

Öffne Video | Zeige mehr Videos

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.8
VulDB Meta Temp Score: 7.0

VulDB Base Score: 7.8
VulDB Temp Score: 7.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Nein

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Hoch funktional
Autor: pageexec
Programmiersprache: 🔍
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 72591
Nessus Name: Slackware 14.1 : kernel (SSA:2014-050-03)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 850566
OpenVAS Name: SuSE Update for kernel openSUSE-SU-2014:0204-1 (kernel)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

MetaSploit ID: recvmmsg_priv_esc.rb
MetaSploit Name: Linux Kernel recvmmsg Privilege Escalation
MetaSploit Datei: 🔍

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Patch
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Exploit Delay Time: 🔍

Patch: seclists.org

Timelineinfo

03.12.2013 🔍
28.12.2013 +25 Tage 🔍
28.01.2014 +31 Tage 🔍
28.01.2014 +0 Tage 🔍
31.01.2014 +3 Tage 🔍
03.02.2014 +3 Tage 🔍
06.02.2014 +3 Tage 🔍
20.02.2014 +14 Tage 🔍
20.02.2014 +0 Tage 🔍
22.11.2024 +3928 Tage 🔍

Quelleninfo

Hersteller: kernel.org

Advisory: Bug 338594
Person: pageexec
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2014-0038 (🔍)
GCVE (CVE): GCVE-0-2014-0038
GCVE (VulDB): GCVE-100-12137

OVAL: 🔍

SecurityFocus: 64781 - Linux Kernel 'fpu-internal.h' Local Denial of Service Vulnerability
Secunia: 56549
OSVDB: 102749 - CVE-2014-0038 - Linux - Privilege Escalation Issue

scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍

Eintraginfo

Erstellt: 03.02.2014 08:57
Aktualisierung: 22.11.2024 16:32
Anpassungen: 03.02.2014 08:57 (92), 29.07.2019 20:37 (6), 22.11.2024 16:32 (19)
Komplett: 🔍
Cache ID: 216:641:103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!