dirtypype (CVE-2022-0847) ?
数日前,セキュリティリサーチャーの马克斯·凯勒曼(マックス・ケラーマン)氏が脏类型cve-2022-0847、cve-2022-0847、cve-2022-0847この脆弱性はLinuxカーネルに影響を与え,悪用された場合はローカルの攻撃者が根権限を取得することが可能です。この脆弱性はカーネル5.8以降を搭載したすべてのLinuxベースのシステムに影響を与え,特に悪用するための前提条件もないため,多くのメディアで取り上げられました。
本ブログではDirtyPipe脆弱性の概要と修正方法に関するガイダンスおよび本脆弱性に関する調査の一環として発見した緩和策について説明します。
(CVE-2022-0847) ?
DirtyPipeはLinuxカーネルにおけるローカル権限昇格の脆弱性であり,ローカルの攻撃者は特定の条件下で任意のファイルのパーミッションをバイパスし,任意のデータを書き込むことができます。この脆弱性はLinuxカーネルバージョン5.8以降に影響を与え,最新のカーネルバージョン(5.16.11、5.15.25 5.10.102)で修正されています。
本脆弱性は読み取り専用のリソースにデータを書き込むことができるという点で,2016年に発見されたDirtyCoW。ただし,DirtyPipeでは攻撃者が読み取り専用のファイルに書き込むことができるのに対し,DirtyCoWでは読み取り専用のメモリマップに書き込むことができる点が大きな違いです。
cve-2022-0847
はcve - 2022 - 0847接头()システムコールを使用している際に発見されました。基本的に,このシステムコールはファイル記述子とパイプの間でデータを移動しますが,データがユーザーモード/カーネルモードアドレス空間の境界を越える必要がないため,マシンのパフォーマンスを向上させることができます。通常,ファイルを送信する際にはメモリページ(通常4 kbの大きさ)がページキャッシュ。そこからデータはユーザ空間にコピーされ,不要なハードディスクI / Oを避けるためにキャッシュに残ります。
ファイルをパイプに読み込む際(接头()システムコールを使用),同時に任意のデータをパイプに書き込むと,このバグによる誤った状態により,ファイルが使用しているのと同じページキャッシュにデータが残ってしまい,その結果,ファイルが読み取り専用モード(O_RDONLY。★★★★★★中国日报网2016-10-20。
この脆弱性を利用することで,以下の条件下でローカルの攻撃者はパーミッションに関係なく任意のファイルに任意のデータを書き込めます。
- 攻撃者が読み取ることができるファイルであること
- 上書きされたオフセットがページ境界であってはならない(ページサイズは通常4096)
- ページ境界を越えて書き込むことはできない
- ファイルサイズを変更することはできない
cve-2022-0847 ?
cve - 2022 - 0847 5.8はから5.16.11,5.15.25,5.10.102より前のバージョンのLinuxカーネルに影響を及ぼします。この問題はLinuxカーネルの一般的に使用されるコードに関係するため,デフォルト設定ではUbuntuやDebianを含むすべての主要なLinuxディストリビューションに影響を及ぼします。
?
現在,主要なクラウドプロバイダーはすべて影響を受けており,部,的,GCPからプロビジョニングされたインスタンスで脆弱性を悪用される可能性があります。
cve-2022-0847
この脆弱性を利用した場合,例えばローカル攻撃者は”“/ etc / passwd”“のような機密ファイルを書き換えたり,精灵を悪意のあるコードで上書きして任意のsetuid root二进制。
?
通常,コンテナ内にマウントされたファイルはホストに保存されないため,通常の条件下では本脆弱性によって攻撃者がコンテナから取得することはできないと考えられます。しかし,機密性の高いホストファイルがコンテナ内に読み取り専用でマウントされている場合,本脆弱性により,コンテナ内の攻撃者がファイルを変更し,コンテナから取得できる可能性があります(これらのファイルの使用状況に依存します)。
cve-2022-0847
Linux内核を5.16.11、5.15.25 5.10.102以降のいずれかのバージョンにアップグレードすることを推奨します。★★★★★★★こちらのパッチ。
| ディストリビューション | 脆弱性バージョン | 修正バージョン |
| Ubuntu | 20.04.2步步高升 | パッチなし |
| Debian | 牛眼灯5.10.84-1 | 牛眼灯5.10.92-2 书虫说5.16.11-1 |
| 红色的帽子 | * | パッチなし |
なおRHEL8 (Linuxカーネル4.18を使用)はcve - 2022 - 0847(初期化の欠落)の根本的な問題が4.9バージョンからカーネルに存在しているため,红帽公司> > > > > > > >【中文翻译】PIPE_BUF_FLAG_CAN_MERGEの使用)はバージョン5.8で導入されました。5.7そのため4.9からまでのLinuxカーネルバージョンは将来的に別途悪用される可能性がありますが,現状はこれらのバージョンでは機能しません。
Cve-2022-0847 ?
カーネルのアップグレードやパッチ適用が不可能な場合,拼接。これは一部のソフトウェアパッケージで問題を引き起こすかもしれませんが,このシステムコールの使用は比較的まれであるため,通常,このシステムコールをブロックしても,正当なアプリケーションに影響を与えることはありません。
Docker, Dockerデフォルトのseccompプロファイル。
カスタムseccompプロファイルを作成した後,新しい码头工人コンテナに適用する場合,以下を実行します。
Docker运行——security-opt seccomp=/path/to/seccomp/profile。json……JFrog(小青蛙
JFrogセキュリティリサーチチームからの最新の発見や技術的な更新はセキュリティリサーチブログの記事微博?@JFrogSecurity。
JFrog x光で脆弱性のあるバージョンを検出
通情达理脆弱性JFrog(青蛙JFrog Xrayによる自動セキュリティスキャンにり,開発者やセキュリティチームが自社のソフトウェアの最新の関連情報に容易にアクセスできます。
