В Linux обнаружена уязвимость, поднимающая привилегии через eCryptfs

В Linux обнаружена уязвимость, поднимающая привилегии через eCryptfs

В Linux обнаружена уязвимость, поднимающая привилегии через eCryptfs

Исследователи безопасности из группы Zero, созданной компанией Google для предотвращения атак, совершаемых с использованием ранее неизвестных уязвимостей, раскрыли информацию о новой технике атаки (CVE-2016-1583) на ядро Linux.

В качестве примера представлен эксплоит, позволяющий локальному пользователю поднять свои привилегии в системе, в которой применяется шифрование домашних директорий при помощи eCryptfs.

Метод позволяет через формирование рекурсивных вызовов в пространстве пользователя добиться переполнения стека ядра. Многослойные файловые системы, такие как eCryptfs, имеют защиту от глубокой вложенности, но предложенный эксплоит обходит данную защиту. Атакующий может организовать цепочку рекурсивных отражений в память файла /proc/$pid/environ, при которой процесс 1 отражает в своё окружение файл /proc/2/environ, процесс 2 файл /proc/3/environ и т.д. Далее, если прочитать содержимое /proc/1/environ будет вызван обработчик pagefault для процесса 1, что приведёт к вызову pagefault для процесса 2 и т.д. по выстроенной цепочке до тех пор пока не переполнится стек ядра, пишет opennet.ru.

 

 

eCryptfs применяется для совершения атаки так как из-за применения шифрования не просто вызывается операция mmap, а дополнительно используется отдельный кэш страниц памяти и собственный обработчик mmap, который использует методы чтения и записи, предоставляемые низлежащей ФС, что позволяет использовать mmap для файлов, которые в обычных условиях не должны отражаться в память, например, для /proc/$pid/mem, /proc/$pid/memenviron и /proc/$pid/mem/cmdline.

В системах c suid-утилитой /sbin/mount.ecryptfs_private, например в Ubuntu, при активации шифрования для домашней директории, атака может быть совершена непривилегированным пользователям, которому предоставлена возможность создания разделов ecryptfs для своих файлов (так как /proc/$pid связан с принадлежащим пользователю процессом и директория принадлежит пользователю, ecryptfs допускает /proc/$pid в качестве источника монтирования).

Для защиты предлагается запретить любые вложенные операции с procfs, блокировать открытие файлов с f_op->mmap==NULL через ecryptfs, предоставить для ecryptfs отдельный кэш ядра, отделённый от кэша, применяемого при прямом отражении физической памяти, и вынести структуру thread_info в другое место. Соответствующие исправления уже приняты в состав ядра Linux, а также предложеныдополнительные методы защиты. Обновление ядра с устранением уязвимости уже выпущены для Ubuntu Linux, Debian и SUSE. Исправление для RHEL/CentOS 5/6 будет представлено в ближайшем обновлении (ветка 7 не подвержена проблеме).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

24% экспертов: без ИИ работать в ИБ скоро будет невозможно

Чтобы оставаться востребованным на рынке, специалисту по информационной безопасности теперь недостаточно классических компетенций. По данным опроса, проведённого ГК InfoWatch, ближайшие годы потребуют от ИБ-экспертов уверенной работы с системами искусственного интеллекта, умения анализировать цифровые следы нарушителей и знаний в области защиты критической и облачной инфраструктуры.

По мнению специалистов, глобальный тренд на использование машинного обучения в информационной безопасности будет только усиливаться.

24% респондентов считают, что без навыков работы с ИИ специалист по безопасности в будущем просто не сможет выполнять свои обязанности. Эксперты подчёркивают: речь идёт как о защите ИИ-систем, так и об использовании ИИ при анализе угроз, реагировании на инциденты и автоматизации рутинных задач.

21% опрошенных считают критически важным умение находить и анализировать цифровой след злоумышленника — как действующего, так и потенциального. Ещё 16% отметили работу на уровне сетевой безопасности как один из базовых и по-прежнему востребованных навыков.

При этом современному ИБ-специалисту нужен не только технический набор умений. Респонденты подчёркивают важность soft skills — аналитического мышления, умения общаться, работать в команде и выстраивать эффективные коммуникации.

Вице-президент ГК InfoWatch по науке и образованию Андрей Зарубин поясняет:

«Один человек не может овладеть всем спектром компетенций в ИБ и поддерживать их актуальность. Поэтому важнейшую роль играют soft skills — они позволяют формировать эффективные команды, делить задачи по направлениям и выстраивать работу со всеми подразделениями компании. Умение слушать, понимать и аргументировать — это уже не опция, а необходимость».

Среди других компетенций, которые будут особенно актуальны:

  • разработка безопасного ПО — 15%;
  • тестирование систем безопасности, пентесты и этичный хакинг — 11%;
  • компьютерная криминалистика — 9%.

В ближайшие два–три года студентам профильных кафедр InfoWatch рекомендует изучать прежде всего:

  • защиту облачных инфраструктур,
  • безопасность объектов КИИ,
  • анализ и расследование инцидентов.

Андрей Зарубин рекомендует будущим специалистам изучать рынок средств защиты информации, проходить программы сертификации у вендоров и работать с реальными ИБ-продуктами:

«Сертификаты разработчиков средств защиты и практические навыки работы с ними — ценный актив для старта карьеры».

Эксперты уверены: чем раньше студент определится с направлением внутри ИБ и начнёт развивать специализированные навыки, тем выше будут его шансы быстро найти работу и вырасти как специалист.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru