Étude de la vulnérabilité du kernel Linux 64bits (local root de septembre 2010)

Christophe Roquette, Jérémy Subtil, Feili Liu Et Romain Bezut

Description

Rappels Contexte de la vulnerabilite Aspect technique de la vulnerabilite Historique de la vulnerabilite Analyse d’un exploit ReferencesEtude de la vulnerabilite du kernel Linux 64bits(local root de septembre 2010)Christophe Roquette, Jeremy Subtil, Feili Liu et Romain BezutUniversite de Technologie de CompiegneSR06 { A10Christophe Roquette, Jeremy Subtil, Feili Liu et Romain Bezut Universite de Technologie de CompiegneEtude de la vulnerabilite du kernel Linux 64bits (local root de septembre 2010)Rappels Contexte de la vulnerabilite Aspect technique de la vulnerabilite Historique de la vulnerabilite Analyse d’un exploit ReferencesPlanRappelsRappel de la loiLes registresLes appels systemeContexte de la vulnerabiliteAspect technique de la vulnerabiliteD’ou vient la vulnerabilite ?Exploitation par ptrace(2) Patch de 2007 du cas ptraceHistorique de la vulnerabiliteCVE-2007-4573CVE-2010-3301Regression de 2008Analyse d’un exploitReferencesChristophe Roquette, Jeremy Subtil, Feili Liu et Romain Bezut Universite de Technologie de CompiegneEtude de la vulnerabilite du kernel Linux 64bits (local root de septembre 2010)Rappels Contexte de la vulnerabilite Aspect technique de la vulnerabilite Historique de la vulnerabilite Analyse d’un exploit ReferencesRappel de la loiRappel de la loiArticle 323-1 du Code penal (21 juin 2004).I Le fait d’acceder ou de se maintenir, frauduleusement, dans ...

Informations

• Publié par: Miching
• Nombre de lectures: 56
• Langue: Catalan

Extrait

RappelsContexteedaluvnle´aribileAt´ecspecttiqhnedeuuvale´nlibareHislit´quedtorilu´nlevalitirebaysalAn´expne’uedfe´Rtiolsecnere´ hpReqoeutt,e´JreChristomoRteuiLtuzeBniabtSumy´eliei,Filgoeinhlopm`iedoCersiUniveTect´ed t´liuked´elnbiraededuval enge utE ´ otdesept(localroxu46ibstreenLlni

SR06 – A10

Universit´edeTechnologiedeCompie`gne

ChristopheRoquette,J´er´emySubtil,FeiliLiuetRomainBezut

´ Etudedelavulne´rabilite´dukernelLinux64bits (local root de septembre 2010)

)0102erbme

lLinux64edukernelaortoedibstl(co01e2

Plan Rappels Rappel de la loi Les registres Lesappelssyst`eme Contextedelavulnerabilite´ ´ Aspecttechniquedelavuln´erabilit´e D’o`uvientlavulnerabilit´e? ´ Exploitation par ptrace(2) Patch de 2007 du  cas ptrace  Historiquedelavuln´erabilit´e CVE-2007-4573 CVE-2010-3301 R´egressionde2008 Analyse d’un exploit Re´ferences ´

0)ptsebrem avuledeltextsConppleaRabern´ulHi´eitileuqirotsnluvaledabiln´erAspeit´ehcintcetlevauqdeerf´ceens´erabilit´eAnalyes’dnuxelpioRte´ ainBtRomLiueeililiF,uStbe´ym´Jree,ttueoqeRphtoisrhC rabilit´lavuln´eE ´ uteded pm`igeenieogCodeeceTolhnisrede´ttuzevinU

ibile´arsiot´tHeedelriqun´eravule´tilibadesylanAloxpne’u´eefR´itRpaepsloCntextedelavuln´eibar´tilpsAettcehnecueiqladelnvuncrees olhnieogedt´eceTenge utE ´ oCed`ipmLiuetRomil,FeilinUvireisiaBnzetuueoqeRphtoishrCtbuSyme´re´J,ett )0

Rappel de la loi

Article323-1duCodep´enal(21juin2004). I  Lefaitd’acce´deroudesemaintenir,frauduleusement,danstout oupartied’unsyste`medetraitementautomatise´dedonn´eesest puni de deux ans d’emprisonnement et de 30000 euros d’amende.  I  Latentativedesd´elits[...]estpuniedesmeˆmespeines. 

Rappel de la loi

stib46xuorlacol(ptsedeot01e2bremaluvededaribnle´eduklit´lLinerne

46ibstl(colaortot´edukern p e p l R L a i s n C u e x l

Les registres

Les registres

sedeempte2br0)01 reneecsoitR´ef´d’unexplanAeesylibar´tilvula´elniqordeueiHtstie´bali´nreavuledelniqutechtcepsAe´tilibaren´ulaveledxtteon delavuln´erabili oCpm`igeen E ´ uted eTedhnecogoldeiezeBnnUturevi´tisliLi,FeiomaiuetRree´,e´JtbliymuSphtoishrttueoqeRC

lit´eAnaln´erabieuedaluviHtsroqiscef´´eenerlpxeRtioesylnu’d Chr,FilbtSumy´eerJ´,etteuqoRehpotsi ppaRrebalu´ne´sAlitionteelsCelavxtedre´nluvae´tilibachtectpeeledquni

Lesappelssyst`eme

Lesappelssyste`me

lieiueLiomtRnBaituze E ´ uteded´elnvulat´libiraenrekude46xuniLl(locbitsotdealromerbestp)0

Universite´deTechnologiedeCompi`egne

2e10

iLun6xb4udeknrleabilit´eavuln´er0102

I KernelLinuxx8664-bitsavecmodedecompatibilit´e32-bitsactiv´e. I Survientlorsd’unappelsyste`me32-bits( int 0 x80 en assembleur). I Ve´rificationsurEAXmaisutilisationdeRAX,cequiautorise`aaller chercherlaroutinedesyscalldansl’espacem´emoireutilisateur. I Exe´cutiond’uneroutinecre´e´eparl’utilisateurenmodekernel. I Changement des UID, GID, . . . du programme en cours. I Exe´cutionde /bin/sh . I Got root.

Contextedelavulne´rabilit´e

)etpeerbmoolrestds(itcalo RexntdetepeapColsaribil´taluvnle´echniqueeAspecttilibare´nluvaledeledquritoiseHt´tie´bali´nrevaluxplo’uneysedAnalef´eitR´esrenc etJ,uqteehoRtspol,FeubtiemyS´er´riChigdeCemoeThconol Etudedel pi`egne ´ amoReBniLiliteuiitrsde´etUzuveni

stor´eHidelaiquelu´nlevalitirebad’selynaoiplexunare´nluvAe´tilibppelsContextedelaRpeAstectnichedquluvare´nlibae´ticeens´etRerf´ rnkeLielx6nuit4b´nlubaretiliude´ ´ Etudedelav toRteuiLiuzeBniamySubr´emFeiltil,oRuqpoehJ,e´teethCtsir

Cependantimpossiblea`exploiterdansuncasnormald’utilisationa`cause du zero-extending :

m o v l % eax ,% eax

1

Cequiassurequelamoiti´esupe´rieurede rax est toujours a zero. ` ´

´ Emulationdesappelssyste`me32-bitsdanslekernel:

c m p l $ ( I A 3 2 _ _ y l l s -1) ,% eax N R s s c a ja i a 3 2 _ b a d s y s i a 3 2 d o c a l l : _ _ _ _ I A 3 2 A R G F I X U P c _ s y _ l _ t a b l e ( ,% rax ,8) a l l * i a 3 2 s c a l

1 2 3 4 5

epestdoolrcalos(

D’o`uvientlavuln´erabilit´e?

D’ou`vientlavulne´rabilit´e?

Universit´edeTechnologiedeCompi`egne

)0102erbmet

oRuqpoehirtshC tsiHqiroedeuuval´elnbirat´linaeAeptcethcinuqdeleavuln´erabilit´e’dnuylesioRtxelperen´ef´ces J l , e e C ´ s t n e o e e t t S t y x b d u e ´ l r e m v e a F u e l i n l ´ t e i r l a , b e i t l R i o t i ´ L e i A u s uzeBniamsrevinUtTede´eitgilon p o p c R h a deCemoipe`ng ´ e tEudedelavuln´erabtiliude´nrekiLlex6nuit4blos(lrcare20tembesepootd

Exploitation par ptrace(2)

Exploitation par ptrace(2)

Qu’est ce que ptrace(2) ? I Appelsyt`mepermettanta`unprocessusparentd’observeretde s e controˆlerl’exe´cutiond’unprocessusfils. I Syscallutilise´parlesd´ebogueurstelsqueGDBnotamment. Exploitation dans notre cas : I D´eboguerleprocessusfilslorsd’unappelsyst`emeavec: ptrace ( PTRACE_SYSCALL , pid , 1, 0); I Changerlavaleurderaxdufilsavantl’appelsyste`me32-bits (etdoncapre`sle movl % eax ,% eax ).

01)