Was ist der Dirty-Pipe-Exploit in Linux und wie können Sie ihn beheben?

Linux ist in letzter Zeit Opfer einer weiteren hochgradigen Sicherheitslücke bei der Rechteausweitung geworden Nachfolge des Kontrollgruppen-Schlupflochs, das es Bedrohungsakteuren ermöglichte, Containern zu entkommen und auszuführen willkürlicher Code. Diese neue Schwachstelle macht den Piping-Mechanismus in Linux zur Waffe und nutzt ihn, um mit Root-Rechten Schreibzugriff zu erlangen.

Es sorgt in der gesamten Linux-Community für Aufsehen und wurde als eine der schwerwiegendsten Bedrohungen nominiert, die seit 2016 in Linux entdeckt wurden.

Was ist Dirty Pipe unter Linux?

Die Dirty Pipe-Schwachstelle in Linux ermöglicht es nicht privilegierten Benutzern, bösartigen Code auszuführen, der zu einer Vielzahl von destruktiven Aktionen fähig ist, einschließlich Installieren von Hintertüren im System, Einfügen von Code in Skripte, Ändern von Binärdateien, die von erweiterten Programmen verwendet werden, und Erstellen von nicht autorisierten Benutzern Profile.

Dieser Fehler wird verfolgt als CVE-2022-0847

und benannt wurde "Dreckiges Rohr" da es eine große Ähnlichkeit mit hat Schmutzige Kuh, eine leicht ausnutzbare Linux-Schwachstelle aus dem Jahr 2016, die einem Angreifer identische Rechte und Befugnisse einräumte.

Wie funktioniert Dirty Pipe?

Dirty Pipe nutzt, wie der Name schon sagt, in böswilliger Absicht den Pipeline-Mechanismus von Linux. Piping ist ein uralter Mechanismus in Linux, der es einem Prozess ermöglicht, Daten in einen anderen einzuspeisen. Es ermöglicht lokalen Benutzern, Root-Rechte auf jedem System mit öffentlich verfügbaren und leicht zu entwickelnden Exploits zu erlangen.

Es ist eine unidirektionale und prozessübergreifende Kommunikationsmethode, bei der ein Prozess Eingaben vom vorherigen erhält und Ausgaben für den nächsten in der Reihe erzeugt.

Dirty Pipe nutzt diesen Mechanismus kombiniert mit der Splice-Funktion zum Überschreiben vertrauliche Nur-Lese-Dateien, zum Beispiel /etc/passwd, die manipuliert werden können, um ein No-Passwort zu erhalten Wurzelschale.

Obwohl der Prozess ausgeklügelt klingen mag, ist Dirty Pipe unglaublich gefährlich, weil er überflüssig einfach zu replizieren ist.

Schritte zum Replizieren des Exploits

Hier sind die Schritte, die gemäß dem Original zu befolgen sind PoC von Max Kellermann:

1. Erstellen Sie Ihre Pfeife.

2. Geben Sie beliebige Daten in die Pipe ein.

3. Entleeren Sie die Daten der Pipe.

4. Spleißen Sie mit der Splice-Funktion die Daten aus der Zieldatei in die Pipe kurz vor dem Offset des Ziels.

5. Geben Sie beliebige Daten in die Pipe ein, die die Seite der zwischengespeicherten Datei überschreiben.

Es gibt einige Einschränkungen für diese Schwachstelle. Für eine erfolgreiche Verwertung müssen bestimmte Bedingungen erfüllt sein.

Einschränkungen des Exploits

Die Einschränkungen des Exploits sind:

1. Der Angreifer muss über Leseberechtigungen verfügen, da er sonst die Splice-Funktion nicht nutzen könnte.

2. Der Offset darf nicht auf der Seitengrenze liegen.

3. Der Schreibvorgang kann eine Seitengrenze nicht überschreiten.

4. Die Größe der Datei kann nicht geändert werden.

Wer ist von der Dirty Pipe-Schwachstelle betroffen?

Die Angriffsfläche von Dirty Pipe erstreckt sich über alle Linux-Kernel-Versionen von 5.8 bis 5.16.11. Für Laien bedeutet dies, dass alle Distributionen, von Ubuntu bis Arch und alles dazwischen, anfällig dafür sind, von Dirty Pipe kompromittiert zu werden.

Betroffene Linux-Kernel-Versionen reichen von 5.8 zu 5.10.101.

Da diese Schwachstelle tief in einem grundlegenden Teil des Linux-Kernels sitzt, kann sie Auswirkungen auf der ganzen Welt haben. Die einfache Ausnutzung gepaart mit seinem Umfang macht Dirty Pipe zu einer großen Bedrohung für alle Linux-Maintainer.

Forscher warnen sowohl Unternehmen als auch unabhängige Benutzer, ihre Server und Systeme zu patchen, sobald die Sicherheitsupdates eingeführt werden.

Wie kann man die Dirty Pipe-Schwachstelle beheben und sind Sie sicher?

Wenn Ihr System anfällig für Dirty Pipe ist, sollten Sie Ihre Systeme am besten mit den neuesten Sicherheitsupdates aktualisieren. Die Schwachstelle wurde erstmals um den 20. Februar 2022 herum von Max Kellerman von CM4all und einem Patch gemeldet, der die Bedrohung für Kernel-Versionen mindert 5.10.102, 5.15.25 und 5.16.11 wurde am 23. Februar 2022 vom Linux-Kernel-Sicherheitsteam veröffentlicht.

Google hat seinen Teil dazu beigetragen und die Lücke in Android einen Tag später, am 24. Februar 2022, gepatcht. Wenn Sie also Ihre Linux-Maschinen auf dem neuesten Stand gehalten haben, sollten Sie sorgenfrei und sicher sein.

Was ist die Zukunft von Dirty Pipe?

Laut Linux-Serverstatistiken ist es das Betriebssystem der Wahl für Webserver mit derzeit über 1 Million bereitgestellten und online. All diese Daten sollten ausreichen, um den Umfang von Dirty Pipe zu verdeutlichen und wie verheerend es sein könnte.

Um es hinzuzufügen, gibt es, ähnlich wie bei Dirty Cow, keine andere Möglichkeit, es zu mildern, als Ihren Kernel zu aktualisieren. Webserver und Systeme, auf denen anfällige Kernel-Versionen ausgeführt werden, stehen also vor großen Schwierigkeiten, wenn sie von Dirty Pipe getroffen werden.

Angesichts der Tatsache, dass im Internet eine Flotte von Exploits herumtreibt, wird dies allen Systembetreuern empfohlen zu jeder Zeit auf der Hut sein und aufpassen, wer lokalen Zugriff hat, bis ihre Systeme es sind gepatcht.

5 Möglichkeiten zum sicheren Herunterladen von Software unter Linux

Sogar Ihr Linux-Rechner ist anfällig für Viren und Malware. Es sei denn, Sie wissen, wo Sie Ihre Software herunterladen sollten.

Lesen Sie weiter

Über den Autor