The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

03.09.2018 10:33  Уязвимость в гипервизоре KVM

В поставляемом в составе ядра Linux гипервизоре KVM выявлена уязвимость (CVE-2018-10853), позволяющая непривилегированному пользователю гостевой системы выполнить код с правами ядра в данной гостевой системе.

Проблема вызвана ошибкой в коде эмуляции инструкций sgdt/sidt/fxsave/fxrstor, в котором не выполнялась проверка текущего уровня привилегий, что давало возможность выполнения данных инструкций обычным пользователем для повышения полномочий внутри гостевой системы. Проблема проявляется начиная с ядра 4.10. Патч с исправлением уже принят в состав ядра Linux. Обновления пакетов выпущены для Debian, SUSE, openSUSE, Ubuntu и Fedora. Ядра из состава RHEL проблеме не подвержены.

Дополнительно можно упомянуть недавно выявленную уязвимость (CVE-2018-14619) в криптоподсистеме ядра, которая потенциально позволяет локальному атакующему выполнить свой код с правами ядра Linux. Тем не менее, уязвимость не представляет реальной опасности, так как около 8 месяцев назад была устранена как ошибка и только сейчас стало ясно, что эта проблема представляла угрозу безопасности (уязвимость всплыла после автоматизированного тестирования на наличие use-after-free уязвимостей в старых ядрах).

Уязвимость присутствовала в ядре 4.14 и была устранена в обновлении 4.14.8, т.е. в основном ядре просуществовала с 12 ноября по 20 декабря 2017 года. Тем не менее, короткое время уязвимость присутствовала в одном из пакетов с ядром для Fedora Linux и в пакете kernel-alt из состава RHEL для архитектур ARM64, IBM POWER9 (little endian) и IBM z.

  1. Главная ссылка к новости (http://seclists.org/oss-sec/20...)
  2. OpenNews: Уязвимости в гипервизоре Xen
  3. OpenNews: Серия критических уязвимостей в гипервизоре Xen
  4. OpenNews: Уязвимость в гипервизоре bhyve, позволяющая получить контроль над хост-системой
  5. OpenNews: Сайт проекта OpenSSL был взломан через уязвимость в гипервизоре хостинг-провайдера
  6. OpenNews: Критические уязвимости в подсистеме eBPF ядра Linux
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: linux, kernel
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, Поехавший (?), 11:04, 03/09/2018 [ответить] [показать ветку] [···]    [к модератору]
  • +11 +/
    >Ядра из состава RHEL проблеме не подвержены

    К слову об энтерпрайсе, который тут почему-то поливают грязью.

     
     
  • 2.9, Аноним (-), 12:39, 03/09/2018 [^] [ответить]    [к модератору]
  • +5 +/
    От зависти и невежества. Кому надо, те знают, что за ядро у шапки, и прекрасно используют.
     
  • 2.10, Аноним (-), 12:50, 03/09/2018 [^] [ответить]    [к модератору]
  • –6 +/
    Ваистену поехавший, рхела с ядром 4.10 и новее нет. В 0.9 небось половина штеудовых багов не заработает, присвой и эту фичу успешным партнёрам интырпрайса.
     
     
  • 3.11, Crazy Alex (ok), 13:00, 03/09/2018 [^] [ответить]    [к модератору]
  • +2 +/
    Ты как-то очень наивно сравниваешь версии редхатовских ядер с мейлайном
     
     
  • 4.15, redgad (?), 13:53, 03/09/2018 [^] [ответить]    [к модератору]
  • +/
    да не, мы на самом деле не большие любители обмазаться свеженьким.
    Переходим на новые версии только когда уже действительно что-то важное не удается заставить работать со старой, и бэкпорт нужных фич оказывается невозможным.

     
     
  • 5.17, Crazy Alex (ok), 14:00, 03/09/2018 [^] [ответить]    [к модератору]  
  • +5 +/
    Только к этому моменту пол-ядра состит из бэкпорта, что делает сравнение по цифиркам совершенно бессмысленным
     
     
  • 6.23, redgad (?), 21:09, 03/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    да нет, с чего вы взяли? "stable api is no sense" - не наш лозунг.
    Бэкпортируются драйвера, далеко не все, зачем нам всякий мусор типа rpi, только те что актуальны крупным клиентам, отдельные api, которых хочет докер-шмокер и прочая модная похабень, исправления в поддерживаемых нами (то есть не на букву b) файловых системах, сети и т п. Наоборот в апстрим пихается своя разработка, прежде всего в области xfs - будет оно там работать или развалится - нас не очень колышет, мы засабмитили и бабос заслали, пусть дальше Линус выгребает.

    другое дело, что вряд ли средневзятый опеннет-др*чер сможет без подглядывания в гугл назвать принципиальные отличия между vanilla 3.10 и нынешним...каким там - не следим, сорри... 4.8? Или уже 5? 6? Какая, нахрен, разница...

     
     
  • 7.27, Аноним (-), 22:25, 03/09/2018 [^] [ответить]    [к модератору]  
  • –2 +/
    В пятую центось бекпортировали kvm, но это было во времена когда редхет был лидером, а не сидел под мелкой мягкой шконкой.
     
     
  • 8.28, Аноним (-), 22:27, 03/09/2018 [^] [ответить]    [к модератору]  
  • –1 +/
    Извините,в 2.6.18 пятой шапки, конечно же.
     
     
  • 9.33, нах (?), 17:07, 04/09/2018 [^] [ответить]    [к модератору]  
  • –1 +/
    наоборот же ж  - когда было что бэкпортировать. btrfs по мнению гадов ненужно, zfs опасно (и в целом работает, пусть и не изкаропке), xfs и современные правки lvm не портируются а наоборот, активно развиваются редгадами и пушатся в апстрим. Чего нынче бэкпортировать-то?

     
  • 2.14, Anonimus (??), 13:52, 03/09/2018 [^] [ответить]    [к модератору]  
  • +2 +/
    Все банально просто - это из-за того что "Проблема проявляется начиная с ядра 4.10", а в "энтерпрайзе" более старая версия...
     
  • 2.18, SysA (?), 16:33, 03/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    Читай внимательно: "...короткое время уязвимость присутствовала ... в пакете kernel-alt из состава RHEL"! ;)

    Ну и не забываем о том, что ядра у шапки 3.10, а дырка была в 4.10 - почувствуйте разницу!

     
  • 2.20, Попугай Кеша (?), 17:40, 03/09/2018 [^] [ответить]    [к модератору]  
  • –1 +/
    Нет тут причинно-следственной связи. Успокойтесь.
     
  • 1.2, Шумер (?), 11:04, 03/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +16 +/
    Опять в красношапке с древним ядром ничего не работает.
     
     
  • 2.3, Картошкин (?), 11:53, 03/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Дурик, кто же в интерпрайзных сборках на номер версии смотрит?
     
  • 2.5, Vitaliy Blats (?), 12:27, 03/09/2018 [^] [ответить]     [к модератору]  
  • –7 +/
    Какая к черту разница какое ядро на работающей системе Если ты аж настолько сп... весь текст скрыт [показать]
     
     
  • 3.7, Аноним (7), 12:33, 03/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Потому что нихрена не умеет?
     
  • 3.8, A.Stahl (ok), 12:34, 03/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    >Лучше расскажи мне почему 2.6.32 работает шустро как часики, а 4.10 безбожно тормозит.

    Только после того как ты мне расскажешь почему у василисков осенью зелёное оперение на хвосте.

     
     
  • 4.21, wergus (?), 19:48, 03/09/2018 [^] [ответить]    [к модератору]  
  • +1 +/
    Тут каждый же знает!
    Если у василиска на хвосте перья, а тем более зелёные - что-то пошло не так.
    Дебажить нужно и заводить CVE.
     
  • 3.12, Аноним (12), 13:00, 03/09/2018 [^] [ответить]    [к модератору]  
  • +/
    >скомпилить необходимые новые модули под старое ведро

    Сначала их придётся ещё бекпортировать.

     
  • 3.13, Аноним (13), 13:47, 03/09/2018 [^] [ответить]    [к модератору]  
  • +/
    > Лучше расскажи мне почему 2.6.32 работает шустро как часики, а 4.10 безбожно тормозит.

    Из-за регрессий

     
  • 3.19, SysA (?), 16:36, 03/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Ты не поверишь, разница есть! В старых ядрах не полностью работают некоторые фишки системД, например...
     
     
  • 4.26, Харитон (?), 22:21, 03/09/2018 [^] [ответить]    [к модератору]  
  • –1 +/
    От беда, а РедХат не знала сие и ввела в 7-й версии системд на старых ядрах...
     
  • 4.36, Муха на стекле (?), 14:24, 11/09/2018 [^] [ответить]    [к модератору]  
  • +/
    И не надо
     
  • 3.24, redgad (?), 21:17, 03/09/2018 [^] [ответить]    [к модератору]  
  • –2 +/
    12309 жеж!

    кстати, успехов вам скомпилировать хоть один новый модуль кроме sekelton.c под 2.6.18
    Мы вот быстро сдались.

     
  • 2.29, vitalif (ok), 01:40, 04/09/2018 [^] [ответить]    [к модератору]  
  • +/
    Почему, был же случай, когда они уязвимости бэкпортировали вместе с кодом драйверов
     
  • 1.4, rm1 (?), 12:01, 03/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • –2 +/
    Ссылка под словом "устранена" вообще на что-то не на то.
     
  • 1.16, HyC (?), 13:58, 03/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +2 +/
    > Проблема вызвана ошибкой в коде эмуляции инструкций sgdt/sidt/fxsave/fxrstor, в котором не выполнялась проверка текущего уровня привилегий, что давало возможность выполнения данных инструкций обычным пользователем для повышения полномочий внутри гостевой системы

    Каким образом это можно сделать ?

    Долгое время эти sgdt и sidt были вообще непривилегированные, и никому это особо не мешало, сейчас проверка привелегий зависит от битика UIMP в CR4 и предназначена эта порнография исключительно для скрытия факта виртуализации. В патче как я гляжу просто прибили все намертво гвоздями, причем исключительно к CPL3. По индусски дыру заткнули вобщем.

    Ждем ровно тех же граблей с sldt, smsw и str. Тут про них тщательно забыли.

     
  • 1.35, Муха на стекле (?), 12:34, 11/09/2018 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Исправили и ладно...
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor