Дослідники з Грацького технологічного університету виявили нову техніку експлуатації ядра Linux під назвою SLUBStick. Ця атака дозволяє зловмисникам перетворювати обмежені вразливості хіпу на можливість довільного читання та запису пам’яті, що значно підвищує ризики для безпеки Linux-систем.
Як працює SLUBStick
SLUBStick використовує недоліки в системі управління пам’яттю ядра Linux, зокрема в механізмі виділення та звільнення ділянок пам’яті, відомих як “slab”. Атака складається з трьох основних етапів:
- Експлуатація вразливості хіпу (наприклад, double-free, use-after-free або out-of-bounds запис)
- Маніпуляція процесом виділення пам’яті
- Використання timing-атаки по сторонніх каналах для точного визначення моменту виділення/звільнення пам’яті
Завдяки цьому підходу, SLUBStick досягає 99% ефективності у перетворенні вразливостей хіпу на можливість довільного доступу до пам’яті. Це значно перевищує типову ефективність подібних атак, яка зазвичай становить близько 40%.
Наслідки для безпеки Linux
Успішна атака SLUBStick може призвести до серйозних наслідків для безпеки Linux-систем, включаючи:
- Підвищення привілеїв зловмисника
- Обхід механізмів захисту ядра
- Втеча з контейнерів
- Використання в складних ланцюжках атак
Особливо тривожним є те, що SLUBStick здатна обходити сучасні засоби захисту ядра, такі як Supervisor Mode Execution Prevention (SMEP), Supervisor Mode Access Prevention (SMAP) і Kernel Address Space Layout Randomization (KASLR).
Технічні деталі та демонстрація
Дослідники продемонстрували ефективність SLUBStick на ядрах Linux версій 5.9 та 6.2, використовуючи дев’ять різних CVE, виявлених між 2021 і 2023 роками. Атака була успішною як на 32-бітних, так і на 64-бітних системах.
Для успішного проведення SLUBStick потрібен локальний доступ до цільової машини з можливістю виконання коду, а також наявність вразливості хіпу в ядрі Linux. Це означає, що атака найбільш небезпечна в руках зловмисників, які вже мають певний рівень доступу до системи.
Повні технічні подробиці SLUBStick будуть представлені на конференції Usenix Security Symposium наприкінці серпня. Тим часом, дослідники опублікували попередній звіт з деталями атаки та можливими сценаріями її використання. Крім того, на GitHub вже доступні експлойти, використані в дослідженні.
Виявлення SLUBStick підкреслює важливість постійного вдосконалення механізмів безпеки ядра Linux та своєчасного оновлення систем. Адміністраторам та розробникам рекомендується уважно стежити за оновленнями безпеки та впроваджувати багаторівневий підхід до захисту, щоб мінімізувати ризики, пов’язані з подібними складними атаками.
