[sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Michael Shigorin]

	Здравствуйте.
В ядре Linux от 2.6.37 до 3.8.8 (3.8.9?) включительно при наличии
CONFIG_PERF_EVENTS=y (у нас включено в std-def, un-def, led-ws
из того, что под рукой) присутствует уязвимость, для которой
теперь доступен публичный эксплойт с получением локального рута:
https://news.ycombinator.com/item?id=5703758
http://packetstormsecurity.com/files/121616/semtex.c

Временный объезд до обновления ядра до исправленных сборок
(см. https://bugzilla.redhat.com/show_bug.cgi?id=962792#c7):

sysctl kernel.perf_event_paranoid=2
echo "kernel.perf_event_paranoid=2" >> /etc/sysctl.d/CVE-2013-2094.conf

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] [Sysadmins] I: kernel local root vulnerability (CVE-2013-2094)

[Nikolay A. Fetisov]

В Ср, 15/05/2013 в 02:35 +0300, Michael Shigorin пишет:
> В ядре Linux от 2.6.37 до 3.8.8 (3.8.9?) включительно ....

Включая _2.6.32_, как минимум 2.6.32-ovz-el.
Причём и изнутри контейнеров тоже работает.


В 2.6.27, 2.6.18 проблемного кода ещё нет, 
в 3.8.9, _по-моему_, уже исправлено.


-- 
С уважением,
Николай Фетисов

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Gleb Fotengauer-Malinovskiy]

On Wed, May 15, 2013 at 02:35:18AM +0300, Michael Shigorin wrote:
> 	Здравствуйте.
> В ядре Linux от 2.6.37 до 3.8.8 (3.8.9?) включительно при наличии
> CONFIG_PERF_EVENTS=y (у нас включено в std-def, un-def, led-ws
> из того, что под рукой) присутствует уязвимость, для которой
> теперь доступен публичный эксплойт с получением локального рута:
> https://news.ycombinator.com/item?id=5703758
> http://packetstormsecurity.com/files/121616/semtex.c
> 
> Временный объезд до обновления ядра до исправленных сборок
> (см. https://bugzilla.redhat.com/show_bug.cgi?id=962792#c7):
> 
> sysctl kernel.perf_event_paranoid=2
> echo "kernel.perf_event_paranoid=2" >> /etc/sysctl.d/CVE-2013-2094.conf

Эта дыра неактуальна для многих наших ядер уже с конца апреля. 
Обладателям свежих ядер std-def, std-pae и un-def из p6, t6, p7
и sisyphus не о чем беспокоиться.

-- 
glebfm
Глеб Фотенгауэр-Малиновский

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Mike Lykov]

>>  sysctl kernel.perf_event_paranoid=2
>>  echo "kernel.perf_event_paranoid=2" >> /etc/sysctl.d/CVE-2013-2094.conf
>
> Эта дыра неактуальна для многих наших ядер уже с конца апреля.
> Обладателям свежих ядер std-def, std-pae и un-def из p6, t6, p7
> и sisyphus не о чем беспокоиться.

а что делать пользователям ядра kernel-image-ovz-el , например? 
в сизиф оно было только что пересобрано с исправляющим патчем, но p6,t6,p7 ?  ставить на серверы (openvz hn) из сизифа?

-- 
Mike

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Aleksey Novodvorsky]

15 мая 2013 г., 16:54 пользователь Mike Lykov <combr-desktop@yandex.ru> написал:
>
>>>  sysctl kernel.perf_event_paranoid=2
>>>  echo "kernel.perf_event_paranoid=2" >> /etc/sysctl.d/CVE-2013-2094.conf
>>
>> Эта дыра неактуальна для многих наших ядер уже с конца апреля.
>> Обладателям свежих ядер std-def, std-pae и un-def из p6, t6, p7
>> и sisyphus не о чем беспокоиться.
>
> а что делать пользователям ядра kernel-image-ovz-el , например?
> в сизиф оно было только что пересобрано с исправляющим патчем, но p6,t6,p7 ?  ставить на серверы (openvz hn) из сизифа?
>

Подождать немного.

Rgrds, Алексей

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Sergey]

On Wednesday 15 May 2013, Mike Lykov wrote:

> а что делать пользователям ядра kernel-image-ovz-el , например ?

Читать sysadmins@lists. Там Michael Shigorin ночью ещё решение с
OpenNet привёл:

sysctl kernel.perf_event_paranoid=2
echo "kernel.perf_event_paranoid=2" >> /etc/sysctl.d/CVE-2013-2094.conf

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Michael Shigorin]

On Wed, May 15, 2013 at 04:54:53PM +0400, Mike Lykov wrote:
> >> sysctl kernel.perf_event_paranoid=2
> > Эта дыра неактуальна для многих наших ядер уже с конца апреля.
> а что делать пользователям ядра kernel-image-ovz-el , например? 

Перечитать предложенное в качестве объезда.  См. тж.
http://www.opennet.ru/openforum/vsluhforumID3/90017.html#130
-- там дополнение в виде

sysctl -w kernel.perf_event_max_sample_rate=-1

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Aleksey Novodvorsky]

15 мая 2013 г., 16:58 пользователь Aleksey Novodvorsky
<a.e.nvdv@gmail.com> написал:
> 15 мая 2013 г., 16:54 пользователь Mike Lykov <combr-desktop@yandex.ru> написал:
>>
>>>>  sysctl kernel.perf_event_paranoid=2
>>>>  echo "kernel.perf_event_paranoid=2" >> /etc/sysctl.d/CVE-2013-2094.conf
>>>
>>> Эта дыра неактуальна для многих наших ядер уже с конца апреля.
>>> Обладателям свежих ядер std-def, std-pae и un-def из p6, t6, p7
>>> и sisyphus не о чем беспокоиться.
>>
>> а что делать пользователям ядра kernel-image-ovz-el , например?
>> в сизиф оно было только что пересобрано с исправляющим патчем, но p6,t6,p7 ?  ставить на серверы (openvz hn) из сизифа?
>>
>
> Подождать немного.

Исправленные ovz-el и el-def завтра утром в p7.
С ovz-el в p6 придется еще немного подождать.

Rgrds, Алексей

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Mike Lykov]

>>>  Эта дыра неактуальна для многих наших ядер уже с конца апреля.
>>  а что делать пользователям ядра kernel-image-ovz-el , например?
>
> Перечитать предложенное в качестве объезда.  См. тж.
> http://www.opennet.ru/openforum/vsluhforumID3/90017.html#130

читаю (следующий же комент)

---
> kernel.perf_event_max_sample_rate=-1

идея, вероятно, отсюда:
    if (attr.freq) {
        if (attr.sample_freq > sysctl_perf_event_sample_rate) // kernel.perf_event_max_sample_rate
            return -EINVAL;
    }

но attr.freq в запросе этого эксплоита не выставлен, поэтому особого смысла нет.

А kernel.perf_event_paranoid=2 и впрямь недостаточно, т.к. основывается на этом коде:
    if (!attr.exclude_kernel) {
        if (perf_paranoid_kernel() && !capable(CAP_SYS_ADMIN))
            return -EACCES;
    }
достаточно включить attr.exclude_kernel в исходном запросе, чтобы kernel.perf_event_paranoid=2 перестало спасать.
--------------

откуда вообще это благодушие "нам неактуально", "есть же обьезд"? дело-то серьезное, не отмахнешься.


-- 
Mike

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Mike Lykov]

> Читать sysadmins@lists. Там Michael Shigorin ночью ещё решение с
> OpenNet привёл:
>
> sysctl kernel.perf_event_paranoid=2
> echo "kernel.perf_event_paranoid=2" >> /etc/sysctl.d/CVE-2013-2094.conf

а еще лучше читать первоисточники (например, багу redhat. это же не на opennet придумали).
там было прямо сказано, что это НЕ решение, а временная затычка только для этого варианта PoC, которую легко обойти.

Более того, я цитирую тот же opennet в соседнем письме, где другой человек прямо пишет, что нужно изменить в коде эксплоита, чтобы это не сработало.

2 aen: спасибо за информацию о p7, это гораздо лучше чем обсуждать обьезды ;)


-- 
Mike

Re: [sisyphus] I: kernel local root vulnerability (CVE-2013-2094)

[Sergey]

On Wednesday 15 May 2013, Mike Lykov wrote:

> откуда вообще это благодушие "нам неактуально", "есть
> же обьезд"? дело-то серьезное, не отмахнешься. 
 
У меня - понятно откуда. Там, где может быть быть доступ 
произвольных людей, я никак с 2.6.18 уйти не могу. А где
мня это касается, там абы кого быть не должно. ;-)

В общем, повезло на этот раз.

-- 
С уважением, Сергей
a_s_y@sama.ru