کشف چندین آسیب پذیری در کرنل لینوکس با امکان ارتقای سطح دسترسی کاربر، افشای داده های مهم و ایجاد شرایط منع سرویس

1396-10-25
مدیریت انتشار

سه آسیب پذیری خطرناک با شناسه های CVE-2017-17862 ، CVE-2017-17863 و CVE-2017-17864 در هسته لینوکس شناسایی شد. این سه آسیب پذیری به ترتیب امکان ایجاد شرایط منع سرویس در سیستم مقصد، امکان ارتقای سطح دسترسی کاربر عادی و سرقت اطلاعات مهم سیستم را به مهاجم می دهد.

در آسیب پذیری اول، بررسی کننده Extended BPF ('kernel/bpf/verifier.c')، امکان مرور مسیرهای درست کد غیرقابل دسترس که توسط کامپایلرهای JIT پردازش می شوند را ندارد و یک کاربر محلی می تواند با اجرای برنامه آلوده امکان ایجاد شرایط منع سرویس در سیستم مقصد را فراهم نماید. کد مربوطه جهت رفع این آسیب پذیری از آدرس زیر قابل دریافت است:

http://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=c131187db2d3fa2f8bf32fdf4e9a4ef805168467

در آسیب پذیری دوم، بررسی کننده Extended BPF، امکان بررسی اشاره گرهای فریم پشته را نداشته و کاربر محلی با اجرای یک برنامه آلوده، یک خطای سرریز عدد صحیح یا خطای دسترسی به حافظه را به وجود می آورد و کد آلوده خود را با دسترسی ارتقا یافته در سیستم مقصد اجرا می کند. این آسیب پذیری در نسخه 4.9.x کرنل قابل انجام است. کد مربوطه جهت رفع این آسیب پذیری از آدرس زیر قابل دریافت است:

https://anonscm.debian.org/cgit/kernel/linux.git/tree/debian/patches/bugfix/all/bpf-reject-out-of-bounds-stack-pointer-calculation.patch?h=stretch-security

در آسیب پذیری سوم، بررسی کننده Extended BPF، امکان شناسایی درست اشاره گرهای ناقص در کدهای شرطی را ندارد و کاربر محلی امکان دسترسی به آدرس های مهم سیستم مقصد را خواهد داشت. این آسیب پذیری در نسخه های 4.14.8 کرنل و قبل از آن قابل انجام است. کد مربوطه جهت رفع این آسیب پذیری از آدرس زیر قابل دریافت است:

https://github.com/torvalds/linux/commit/179d1c5602997fef5a940c6ddcf31212cbfebd14#diff-3f169a344ebaf82af97903746dc16e4d

ارتباط با ما

07154372274
apa@jahrom.ac.ir
apa.jahrom.ac.ir
استان فارس، جهرم، دانشگاه جهرم

آماز بازدید

  • بازدید فعال 7
  • بازدید امروز 7
  • بازدید کل 50955
  • نشانی شما 3.219.31.204

مراکز همکار

مرکز امداد رایانه ای سازمان فناوری اطلاعات ایران سازمان پدافند غیرعامل