Linux te rooten met laaaaange mappenstructuur

De mappenstructuur voor deze hack moet dusdanig diep zijn dat de totale lengte van het pad de grens van 1 gigabyte overschrijdt. Bij het wissen van die speciaal aangemaakte opzet vindt er een geheugenfout plaats waarna een gebruiker zonder speciale rechten op het systeem ineens de diepgaande rootrechten kan krijgen. Deze programmeerfout (met CVE-nummer 2021-33909) is de naam Sequoia gegeven, naar de bekende boomsoort die enorme wortelvertakkingen heeft.

Raakt alle Linux-distro's

"We hebben deze ongecontroleerde out-of-bounds schrijfoperatie succesvol misbruikt, en volledige rootrechten verkregen op default installaties van Ubuntu 20.04, Ubuntu 20.10, Ubuntu 21.04, Debian 11, en Fedora 34 Workstation", meldt ontdekker Qualys. Dit securitybedrijf waarschuwt dat andere Linux-distributies zeker ook kwetsbaar zijn, en waarschijnlijk ook hackbaar via deze methode.

De ontdekker heeft nagegaan dat de misbruikbare programmeerfout in het bestandssysteem van Linux al zeven jaar aanwezig is in het opensourcebesturingssysteem. De kwetsbaarheid is namelijk geïntroduceerd in juli 2014, met een commit aan kernelversie 3.16. Alle Linux-releases die sindsdien zijn uitgekomen, bevatten deze bug die volgens nu geopenbaarde wijze rootrechten geeft. Voor misbruik moet een aanvaller dus al wel enige toegang hebben tot een Linux-systeem, maar dit zou ook kunnen in de vorm van een kwaadaardige applicatie of app.

Beperken en patchen

Qualys heeft deze ernstige kwetsbaarheid begin juni dit jaar verantwoord gemeld bij Linux-distributiemaker Red Hat. Dat bedrijf, onderdeel van IBM, is toen gelijk patches gaan ontwikkelen en heeft die door Qualys laten testen. Begin vorige week is de patch van Red Hat ingediend bij het kernelontwikkelteam van Linux, waarlangs het nu beschikbaar is voor diverse distributies van het veelgebruikte besturingssysteem voor servers, workstations, cloudsystemen, IoT-apparaten en smartphones.

In de technische blogpost van Qualys over deze LPE-bug (local privilege escalation) krijgen beheerders ook beperkende maatregelen aangereikt. Deze mitigations zijn echter enigszins beperkt omdat ze alleen bescherming bieden tegen een specifieke misbruikmethode. Qualys waarschuwt dat er mogelijke andere exploitationtechnieken bestaan. Voor volledig fixen van deze kwetsbaarheid moet de Linux-kernel worden gepatched.