Bug en kernel linux permite ser root

Solo decir que en www.kernel.org ya se encuentra disponible la versión 2.6.24.2 con los parches que arreglan completamente el problema. Versión que ya está siendo incorporada en las distribuciones más importantes en este mismo momento.

Esta velocidad de respuesta es la verdadera fuerza del software libre!

Menudo susto....

$ uname -r
2.6.18-8.el5

$ gcc exploit.c exploit.c
/tmp/ccGegR0n.o: In function `die':
exploit.c:(.text+0x0): multiple definition of `die'
/tmp/ccgHFcwe.o:exploit.c:(.text+0x0): first defined here
/tmp/ccGegR0n.o: In function `kernel_code':
exploit.c:(.text+0x69): multiple definition of `kernel_code'
/tmp/ccgHFcwe.o:exploit.c:(.text+0x69): first defined here
/tmp/ccGegR0n.o: In function `exit_code':
exploit.c:(.text+0x1ed): multiple definition of `exit_code'
/tmp/ccgHFcwe.o:exploit.c:(.text+0x1ed): first defined here
/tmp/ccGegR0n.o: In function `main':
exploit.c:(.text+0x265): multiple definition of `main'
/tmp/ccgHFcwe.o:exploit.c:(.text+0x265): first defined here
collect2: ld returned 1 exit status

Para compilarlo pon:

$ gcc -o exploit exploit.c

has repetido exploit.c dos veces y no has puesto el -o. Hazlo de esta forma o como te indica en el ejemplo.

muy bonito, pero no esta el codigo del exploit, el enlace no lleva a ningun lao

:~# ./exp
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[-] mmap: Cannot allocate memory

loading...

Bueno el exploit funciona en Centos 4 y 5 hasta antes de la version del parche.

Lo he probado y pude vengarme.

connection closed.

¿Qué tanto...?

¿Es explotable solo en máquinas locales, y que tengan instalado gcc?, porque si solo es perjudicial en máquinas locales, con un CD de Knoppix se podrían obtener los mismos efectos... (mientras el sistema de archivos no esté cifrado) y siempre y cuando podamos arrancar desde el cdrom y...

mi máquina es vulnerable. Sin embargo el ordenador de mi amigo el profesor de instituto (un toshiba con guadalinex 3 edu del que no tiene root ni acceso al grub) no está compilado con vmsplice, una pena porque está deseando sacarle la clave para poder compilarse el ipw2200. Que dicho sea de paso tiene cojones tener que juankear el ordenador de uno mismo para poder usar el hardware que no soporta tu SO de serie.

total que para una vez que me encuentro con un exploit al que le podría sacar partido, resulta que nanai. pues vaya mierda de exploit (con perdón).

a todo esto, mi distro aún no ha sacado paquetes actualizados del kernel (ubuntu gutsy), lo que deja miles de desktops en todo el mundo con el culo al aire, lo cual es triste porque conociendolos, son capaces de decir "arreglado en hardy heron" y dejar a todo el mundo con cara de idiota (ese es su estilo, yo ya ni me molesto en notificar bugs, total, para el caso que hacen....)

A mi me ha funcionado pasmosamente bien. Ilustrativo, por cierto.
Estoy con el que ha dicho que esta es la fuerza del software libre. Lo puede corregir cualquiera, no cuando el desarrollador del mismo le venga en gana, o no.

[fer@casa tmp]$ ./exploit
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7d9f000 .. 0xb7dd1000
[+] root
* Warning: can't find /home/fer/.ssh/id_rsa; skipping

Observar la parte que aparece en negrita, parece que el exploit intenta localizar el archivo de claves ssh y no lo encuentra. He de reconocer que no he mirado demasiado el código, solamente me lo he bajado, lo he compilado y lo he ejecutado.

Un saludo Fernando Acero

"Copyleft 2008 Fernando Acero Martí­n. Verbatim copying, translation and distribution of this entire article is permitted in any digital medium, provided this notice is preserved".

anoche pude comprobar que el exploit funcionaba en debian etch x86_64 totalmente actualizada. Hoy a eso de las 15.00 he recibido un mail en la lista debian-security anunciando una nueva versión del kernel que solucionaba el problema. Ya he actualizado todas las máquinas de mi cluster, he comprobado que efectivamente el exploit ya no es efectivo y me he quedado tranquilo :)

Está claro que ningún software en el mundo es 100% seguro pero la comunidad del software libre en estos casos reaccionan a toda velocidad. Asi da gusto, para que luego digan que es necesario el respaldo de una gran empresa para tener un soporte decente.....

Un kernel bien configurado con los parches de GRSec y PaX no es vulnerable.

andrey@debland:~$ ./script1
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x100000000000 .. 0x100000001000
[+] page: 0x100000000000
[+] page: 0x100000000038
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4038
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0x7f8273f0b000 .. 0x7f8273f3d000
[+] root
root@debland:~# whoami
root
root@debland:~# uname -r
2.6.24-5-generic
root@debland:~#

Ubuntu gusty completamente actualizado (justo antes de esta prueba)

> uname -a
Linux legolas 2.6.22-14-generic #1 SMP Fri Feb 1 04:59:50 UTC 2008 i686 GNU/Linux

> gcc -o exploit exploit.c

> ./exploit
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7e4c000 .. 0xb7e7e000
[+] root

> whoami
root

Así de fácil. Más arriba dicen que hace falta tener el gcc. No es cierto. Como es natural, el exploit funciona aunque no sea compilado en la propia máquina.

Tengo un Debian etch (antes de actualizar el sistema) y he hecho la prueba con el exploit compilado en ubuntu. Ha funcionado.

A Debian etch ya ha llegado el parche y después de actualizar el sistema ya no es vulnerable. Copia pego porque es ilustrativo:

En Debian, antes de actualizar:

[nemesis@boromir] ~/Desktop
> ./exploit
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7e45000 .. 0xb7e77000
[+] root

> whoami
root

En Debian, después de actualizar y resetear el sistema:

> ./exploit
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7dce000 .. 0xb7e00000
[-] vmsplice: Bad address

> whoami
jose

http://www.net-security.org/secworld.php?id=5809

Me gustaría reflexionar sobre este punto: Seguro que todos estamos cansados de que nos digan eso de que el software detrás del cual hay una empresa ofrece más garantías y todo esto.

Debian: Arreglado desde las 15:00
Ubuntu Gusty (última versión estable): Vulnerable ahora mismo.

¿Qué tal han respondido Red Hat y Novell? ¿Alguien nos lo puede contar?

Debian-64 acaba de actualizarme el kernel. Reboot y perfecto,como siempre.

A veces está muy bien que las cosas se hagan "solas", aunque siempre me ha gustado trastear, Debian y su sistema de instalación y actualización no me ha dado ni un solo problema en más de un año de uso y eso que yo soy de Slackware.

En cuanto al bug, bueno, ¿Que bug? ¿Alguien se acuerda?

https://bugzilla.redhat.com/show_bug.cgi?id=432229

En Debian sarge hice la rutina de actualización a mano (apt-get upgrade), pero no encontró una nueva versión del kernel. Tengo un uptime de 164 días y un kernel 2.6.8-3-686. Sin embargo, el exploit no funciona ;-)

---%<-----
alonso@perlanegra:~/bin/exploit.2008-02-11$ gcc -o exploit exploit.c
alonso@perlanegra:~/bin/exploit.2008-02-11$ ./exploit
-----------------------------------
Linux vmsplice Local Root Exploit
By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0x40158000 .. 0x4018a000
[-] vmsplice: Function not implemented
alonso@perlanegra:~/bin/exploit.2008-02-11$
--->%------------

juan@juan-desktop:~$ uname -r
2.6.22-14-generic

juan@juan-desktop:~$ gcc -o exploit exploit.c
exploit.c:20:19: error: stdio.h: No existe el fichero ó directorio
exploit.c:21:19: error: errno.h: No existe el fichero ó directorio
exploit.c:22:20: error: stdlib.h: No existe el fichero ó directorio
exploit.c:23:20: error: string.h: No existe el fichero ó directorio
exploit.c:24:20: error: malloc.h: No existe el fichero ó directorio
En el fichero incluído de /usr/lib/gcc/i486-linux-gnu/4.1.3/include/syslimits.h:7,
de /usr/lib/gcc/i486-linux-gnu/4.1.3/include/limits.h:11,
de exploit.c:25:
/usr/lib/gcc/i486-linux-gnu/4.1.3/include/limits.h:122:61: error: limits.h: No existe el fichero ó directorio
exploit.c:26:20: error: signal.h: No existe el fichero ó directorio
exploit.c:27:20: error: unistd.h: No existe el fichero ó directorio
exploit.c:28:21: error: sys/uio.h: No existe el fichero ó directorio
exploit.c:29:22: error: sys/mman.h: No existe el fichero ó directorio
exploit.c:30:22: error: asm/page.h: No existe el fichero ó directorio
exploit.c:32:24: error: asm/unistd.h: No existe el fichero ó directorio
exploit.c: En la función ‘die’:
exploit.c:55: aviso: declaración implícita incompatible de la función interna ‘printf’
exploit.c:56: error: ‘stdout’ no se declaró aquí (primer uso en esta función)
exploit.c:56: error: (Cada identificador no declarado solamente se reporta una vez
exploit.c:56: error: ara cada funcion en la que aparece.)
exploit.c:57: error: ‘stderr’ no se declaró aquí (primer uso en esta función)
exploit.c:58: aviso: declaración implícita incompatible de la función interna ‘exit’
exploit.c: En la función ‘exit_code’:
exploit.c:183: aviso: declaración implícita incompatible de la función interna ‘printf’
exploit.c:185: aviso: declaración implícita incompatible de la función interna ‘execl’
exploit.c:185: error: ‘NULL’ no se declaró aquí (primer uso en esta función)
exploit.c:186: error: ‘errno’ no se declaró aquí (primer uso en esta función)
exploit.c: En la función ‘main’:
exploit.c:192: error: ‘size_t’ no se declaró aquí (primer uso en esta función)
exploit.c:192: error: expected ‘;’ before ‘map_size’
exploit.c:194: error: no se conoce el tamaño de almacenamiento de ‘iov’
exploit.c:202: aviso: declaración implícita incompatible de la función interna ‘printf’
exploit.c:211: error: ‘PAGE_SIZE’ no se declaró aquí (primer uso en esta función)
exploit.c:214: error: ‘map_size’ no se declaró aquí (primer uso en esta función)
exploit.c:215: error: ‘PROT_READ’ no se declaró aquí (primer uso en esta función)
exploit.c:215: error: ‘PROT_WRITE’ no se declaró aquí (primer uso en esta función)
exploit.c:216: error: ‘MAP_FIXED’ no se declaró aquí (primer uso en esta función)
exploit.c:216: error: ‘MAP_PRIVATE’ no se declaró aquí (primer uso en esta función)
exploit.c:216: error: ‘MAP_ANONYMOUS’ no se declaró aquí (primer uso en esta función)
exploit.c:216: aviso: la asignación crea un puntero desde un entero sin una conversión
exploit.c:217: error: ‘MAP_FAILED’ no se declaró aquí (primer uso en esta función)
exploit.c:218: error: ‘errno’ no se declaró aquí (primer uso en esta función)
exploit.c:220: aviso: declaración implícita incompatible de la función interna ‘memset’
exploit.c:236: aviso: la asignación crea un puntero desde un entero sin una conversión
exploit.c:254: aviso: la asignación crea un puntero desde un entero sin una conversión
exploit.c:263: error: ‘NULL’ no se declaró aquí (primer uso en esta función)
exploit.c:264: aviso: la asignación crea un puntero desde un entero sin una conversión
exploit.c:283: error: ‘SIGPIPE’ no se declaró aquí (primer uso en esta función)

*/*/*/*/*/*/*/*/*/*/*/*/*/*/*

No se si he hecho algo mal o es que no me afecta

Saludos

Gargamel

Vamos a Cambiar el Mundo

Finger:B3A9 77E9 CA47 AF96 C9D9 812F EA88 B6E4 9841 AC9E

Antes de lanzarse como loco a compilar y ejecutar cualquier exploit que encontramos no bien mal tomar algunas precauciones...

Fijaros en el comentario que aparece en el primer exploit:

"
* This is quite old code and I had to rewrite it to even compile.
* It should work well, but I don't remeber original intent of all
* the code, so I'm not 100% sure about it. You've been warned ;)
"

pues eso, estáis advertidos, cuidadito con donde y como se prueban los exploits.

No ha funcionado ninguno de los dos exploits.

Funciona en Fedora Core 7 con el kernel 2.6.23.8-34.fc7.

Por cierto, alguien más ha obtenido un resultado como el de Fernando Acero? He estado echando un vistazo al código y no veo llamadas que se correspondan con la apertura de ningun fichero extraño.

Seguro que este bug no tendrá su minuto de gloria en las noticias de las 15.00h, pero su gravedad está a la altura (si es que no las supera) de algunos de los bug's mas conocidos de Windows. En empresas con sistemas de deserrollo bajo linux, cientos de usuarios podrán ahora mismo, reitero ahora mismo, promocionarse como root. Me temo que hoy va a ser un día de mucho trabajo.

A veces vemos a paja en ojo ajeno y no vemos la viga en el nuestro!!!!!

PD: Por gusto he mirado en las estadísticas de acceso web cuantas personas han leido ya esta noticia. Más de 35!!!! En fin....

Pues eso alguien puede decir si la actualización que comentais es con un:
"apt-get update"
o algo así (acabo de empezar con Debian y aún estoy muy yogurín)
O para solucionar el problema hay que descargar kernel y recompilar, por que en ese caso, los que estamos verdecitos como yo, no nos es una solución factible, y somos vulnerables. Por que cada vez que he intentado ponerme a recompilar el kernel, me quedo a la midad de las preguntas estas que hay que responder, y para alguna vez que he llegado al final con toda mi ilusión, al instalar el nuevo kernel la maquina ya no arrancaba. :-(

PD: Mi sistema lo instale con el CD de NetInstall que me baje de la página oficial

Un saludo.