标签: Linux

潜伏 11 年的 Linux 内核提权漏洞(CVE-2017-6074)曝光

Linux 内核近日又曝出权限提升漏洞,该漏洞可追溯至 2005 年,漏洞影响 Linux 操作系统主要发行版本,包括 Redhat、Debian、OpenSUSE 和 Ubuntu。利用该漏洞,攻击者可以从低权限进程中进行内核代码执行。目前已知受影响的最老版本是 2.6.18(2006 年 9 月),不过该漏洞可能在先前的版本中已经存在,或许从支持 DCCP 开始( 2005 年 10 月的 2.6.14)就已经存在问题了。 在 Seclists.org 发布该漏洞的作者 Andrey Konovalov 表示,很快就会放出 PoC,在此期间给予修复时间。 安全研究员 Andrey Konovalov 最近用 Syzkaller fuzzing 工具,发现了 DCCP 协议实现中的 Linux 内核漏洞,漏洞潜伏时间超过 10 年。 DCCP协议 DCCP协议是面向消息的传输层协议,可最小化数据包报头带来的开销和终端处理的工程量。该协议可建立、维护和拆卸不可靠连接的数据流以及对不可靠数据流进行拥塞控制。 该 DCCP 双重释放漏洞可允许本地低权限用户修改 Linux 内核内存,导致拒绝服务(系统崩溃),或者提升权限,获得系统的管理访问权限。 漏洞详情 这是个 UAF 漏洞:在 IPV6_RECVPKTINFO 开启的情况下,内核解析DCCP 协议的流程中判断已经收到了 DCCP_PKT_REQUEST 返回包,就会释放解析过程使用的 SKB 地址。(“DCCP protocol implementation freed SKB (socket buffer) resources for a DCCP_PKT_REQUEST packet when the IPV6_RECVPKTINFO option is set on the socket.”) 按现在的实现,解析 DCCP 协议的流程中如果 dccp_v6_conn_request 有返回值,就会通过 dccp_rcv_state_process 中的 __kfree_skb 释放掉解析过程中收到了 DCCP_PKT_REQUEST 返回包的 SKB 地址。但是,如果 IPV6_RECVPKTINFO 开启的情况下编译内核,skb 地址就会被存储在 ireq->pktopts,而 dccp_v6_conn_request 中的引用计数会增加,这样 skb 就仍然会被使用。直到 dccp_rcv_state_process 进程中才会被释放。 攻击者使用某些内核堆喷射技术就能控制任意对象,并用任意数据重写其内容。如果重写过的对象中包含任何可触发的函数指针,攻击者便可在该内核中执行任意代码。这个漏洞并不是远程代码执行漏洞,所以攻击者必须拥有系统本地账户,才能利用该漏洞。 两个月前,Linux内核也曝出了类似的提权漏洞CVE-2016-8655,该漏洞可以追溯到2011年,低权限本地用户利用Linux内核af_packet实现中的竞争条件,可获得root权限(漏洞详情)。 修复方案 手动修复:调用consume_skb,而非跳转discard并调用__kfree_skb。 更详细的修复方案请点击这里。如果你是高级Linux用户,那么可以应用补丁,重新构建内核,或者等待发行商发布更新。 稿源:FreeBuf, 由 FB 小编 kuma 编译;封面源自 FreeBuf

新木马“Linux.Proxy.10”已将数千台 Linux 沦为代理服务器

据安全公司 Dr. Web 报道,数千个 Linux 设备感染了新木马 Linux.Proxy.10 。正如木马的名字所暗示的,该木马可以在受感染的设备上运行基于 Satanic Socks Server 源代码的 SOCKS5 代理服务器。攻击者将受感染的设备作为跳转代理进行恶意行为,从而隐藏其真实信息。 Linux.Proxy.10 最初是由杀毒公司 Doctor Web 的研究人员在 2016 年底发现的,据研究报道显示,该木马已经攻击了数千台 Linux 设备、恶意代码仍在继续传播。木马不包含任何攻击 Linux 系统的模块,而是使用其他木马和技术入侵设备,并创建一个名为“ mother ”密码为“ f**ker ”的后门账户。一旦后门安装成功,攻击者将通过 SSH 协议登录设备,并安装 SOCKS5 代理服务器。此外,研究人员调查了一台用于传播 Linux.Proxy.10 木马的服务器,发现其中除了包含目标设备的攻击列表,还有一个匿名代理管理员面板和一个已知的 Windows 间谍软件 BackDoor.TeamViewer 。 建议: Linux 用户和管理员限制或禁用 root 用户通过 SSH 远程登录设备,并监控新生成的登录用户、观察其是否存在恶意行为。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

长按回车 70 秒 Root Linux 系统,你信么?

不管你信不信,黑客只需按住“ Enter ”(回车)键约 70 秒就能轻松绕过 Linux 系统身份验证、获得 Root 权限、实现对加密 Linux 设备的完全控制。 Linux Unified Key Setup (LUKS,统一密钥设置) 是 Linux 下标准的设备加密格式,可用于不同的 Linux 版本、支持多用户/口令。 CVE-2016-4484 漏洞出于分区加密程序 Cryptsetup 通过 LUKS 标准加密硬盘驱动器的过程中 ,能够导致 Cryptsetup 解密过程失败,从而允许用户多次重试密码。更糟糕的是,如果用户已尝试 93 次密码或者直接按住“ Enter ”键约 70 秒,将会直接进入具有 root 权限的 shell 里面 (即能够 Root  initramfs shell)。 一旦获得目标 Linux 设备上的 root shell ,黑客可以复制、修改、破坏硬盘,或者连接网络窃取数据。如果设备使用基于云的 Linux 服务,黑客可远程利用此漏洞,而无需“物理访问”。这个安全漏洞不依赖于特定的系统或配置,在图书馆、自动取款机、机场设备、实验室等场景中最容易被利用。 解决方法 首先,在 LUKS 密码提示下按 Enter 键约 70 秒钟,直到 shell 出现,查看您的系统是否容易受到攻击。 1、如果容易受到攻击,您需要与您的 Linux 系统支持供应商联系,查询是否有补丁可用。 2、如果修补程序不可用,则可以通过修改 cryptroot 文件 访问 hmarco.org 可以查看更多细节。 稿源:本站翻译整理,封面来源:百度搜索

新木马”FakeFile”:无需 root 即可执行,针对 openSUSE 以外所有 Linux

据外媒报道,俄罗斯杀毒软件供应商 Dr.Web 在 10 月发现针对 Linux 系统的新木马“ FakeFile ”,该木马以 PDF 、 Microsoft Office 、 OpenOffice 文件形式传播。木马的源代码中有一个特定的规则:如果系统使用的 Linux 发行版是 openSUSE,则终止感染进程。也许恶意软件作者就是使用的该系统版本。FakeFile是一个成熟的后门木马,具备常见的一系列操作功能。此外木马还可以运行文件、shell命令,获取或设置所需文件和文件夹的权限,终止进程或将其从受感染的主机中移除。最令人担忧的是,木马不需要root权限就可以执行这些操作。 稿源:本站翻译整理,封面来源:百度搜索

尽快修复:Linux 全版本提权漏洞 Dirty COW (脏牛漏洞)

据国外媒体消息,近日曝出的 Dirty COW  0-Day 漏洞存在于 2007 年发布的 Linux 2.6.22 内核中,能够使低权限用户在全版本  Linux 系统上实现本地提权,直至 2016年 10 月 18 日 Linux 内核小组发布官方补丁表示 CVE-2016-5195 (Dirty COW)漏洞已被修复。 官方给出的漏洞原理是: Linux 内核的内存子系统在处理 Copy-on-Write 时出现竞争条件(漏洞),导致私有的只读内存映射被破坏、获取读写权限后进一步提权。 此前并无任何证据表明,有黑客在利用 Dirty COW 进行攻击,但安全研究人员 Phil Oester 通知 Red Hat 指出近期已有黑客组织在部署利用该漏洞的代码。 Red Hat 官网 21 日发布公告把漏洞评级为“重要”, 并表示以下版本将受漏洞影响: Red Hat Enterprise Linux 5 Red Hat Enterprise Linux 6 Red Hat Enterprise Linux 7 Red Hat Enterprise MRG 2 Red Hat Openshift Online v2 用户可到官网下载脚本进行检测。此外 Debian、Ubuntu 版本  Linux 也已发布 CVE-2016-5195 漏洞公告 21 日下午,据国内 360 安全团队最新消息: “在 Android 7.0 最新的 10 月补丁安全级别的系统上测试过漏洞 POC,确认 Android 系统受影响。 稿源:本站翻译整理,封面来源:Dirty COW 专用 Twitter