搜索

[11490] 2017-06-24_Linux中的StackClash漏洞，可被黑客利用获取本地root权限

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-06-24_Linux中的StackClash漏洞，可被黑客利用获取本地root权限 L i n u x 中 的 S t a c k   C l a s h 漏 洞 ， 可 被 黑 客 利 用 获 取 本 地 r o o t 权 限 E l a i n e   F r e e B u f   2 0 1 7 - 0 6 - 2 4 上 个 月 ， 上 个 月 ， Q u a l y s 的 安 全 研 究 人 员 在 多 种 基 于 的 安 全 研 究 人 员 在 多 种 基 于 U n i x 的 系 统 上 发 现 名 为 的 系 统 上 发 现 名 为 “ S t a c k   C l a s h ” 的 漏 洞 ， 该 漏 洞 能 让 攻 击 者 在 的 漏 洞 ， 该 漏 洞 能 让 攻 击 者 在 U N I X 系 统 上 获 得 系 统 上 获 得 r o o t 权 限 ， 并 接 管 这 台 受 到 攻 击 的 计 算 机 。 目 前 安 全 研 究 人 员 发 现 了 这 个 缺 陷 ， 正 与 各 种 供 应 权 限 ， 并 接 管 这 台 受 到 攻 击 的 计 算 机 。 目 前 安 全 研 究 人 员 发 现 了 这 个 缺 陷 ， 正 与 各 种 供 应 商 合 作 ， 尽 早 发 布 修 复 程 序 。 商 合 作 ， 尽 早 发 布 修 复 程 序 。 据   Q u a l y s   的 研 究 人 员 介 绍 ， 这 个 问 题 影 响 了 许 多   U N I X   系 统 ， 如   L i n u x ， O p e n B S D ， N e t B S D ， F r e e B S D   和 S o l a r i s 。 研 究 人 员 仅 测 试 了   i 3 8 6   和   a m d 6 4   平 台 上 的   S t a c k   C l a s h ， 并 且 不 排 除 其 他 供 应 商 和 平 台 也 可 能 受 到 影 响 。 其 实 ， 这 个 问 题 早 在   2 0 0 5   年 就 曾 首 次 发 现 过 ， 随 后 L i n u x 引 进 了 应 对 的 保 护 机 制 （ S t a c k   g u a r d   p a g e ） 。 而 现 在 的 漏 洞 核 心 也 依 旧 是 自   2 0 0 5   年 以 来 已 经 知 道 问 题 ， 在 经 历 补 丁 修 复 后 该 问 题 在 2 0 1 0 年 再 次 发 现 并 得 到 修 补 ， 如 今 第 三 次 发 现 存 在 漏 洞 。 什 么 是 什 么 是 S t a c k   C l a s h 漏 洞 漏 洞 这 个 问 题 主 要 涉 及 内 存 栈 的 概 念 ： 栈 内 存 是 应 用 程 序 在 计 算 机   R A M   中 执 行 代 码 的 内 存 区 域 。 而 随 着 应 用 程 序 越 变 越 大 ， 内 存 区 域 也 “ 水 涨 船 高 ” 。 现 在 问 题 在 于 ， 当 一 个 栈 内 存 增 长 得 太 多 ， 以 至 于 过 于 接 近 另 一 个 程 序 的 栈 内 存 时 ， 可 能 会 出 现 混 淆 的 问 题 。 应 用 程 序 的 栈 内 存 接 触 到 堆 内 存 时 ， 如 果 攻 击 者 可 以 注 入 某 些 数 据 然 后 操 作 堆 内 存 中 的 存 储 信 息 ， 他 就 可 以 覆 盖 部 分 堆 栈 并 劫 持 应 用 程 序 中 的 执 行 流 ， 相 应 地 ， 甚 至 还 可 以 接 触 到 更 重 要 的 数 据 结 构 。 从   2 0 0 5   到   2 0 1 0   年 ， 再 到   2 0 1 7   年 ， 研 究 人 员 发 现 已 经 可 以 通 过 堆 栈 中 泄 露 的 代 码 来 欺 骗 操 作 系 统 。 目 前 ， Q u a l y s   研 究 员 已 经 公 开 了 漏 洞 的 概 念 验 证 ， 可 以 看 到 低 层 代 码 能 从 恶 意 应 用 程 序 的 内 存 堆 栈 跳 转 到 具 有   r o o t 访   问 权 限 的 合 法 应 用 程 序 的 内 存 区 域 。 在 现 在 的 研 究 中 我 们 发 现 s t a c k   c l a s h 漏 洞 仍 然 可 以 被 攻 击 者 利 用 ， 尽 管 现 在 有 S t a c k   g u a r d   p a g e 保 护 机 制 ， 我 们 仍 然 发 现 了 多 种 利 用 方 法 ， 如 下 所 示 ： 1 .   使 栈 内 存 与 其 他 内 存 区 域 冲 突 ： 分 配 内 存 直 至 与 其 他 区 域 冲 突 2 .   绕 过   s t a c k   g u a r d - p a g e 机 制 ： 将 栈 指 针 从 栈 中 移 到 其 他 内 存 区 域 中 ， 但 不 要 触 及 s t a c k   g u a r d - p a g e 3 .   摧 毁 栈 内 存 或 其 他 内 存 区 域 ： 用 另 一 个 内 存 区 域 覆 盖 原 来 的 栈 内 存 数 据 ， 或 反 过 来 覆 盖 漏 洞 影 响 漏 洞 影 响
该 研 究 团 队 称 他 们 可 以 为 制 作 出 1 4 个 e x p l o i t 及 相 应 的 概 念 验 证 攻 击 程 序 ， 针 对 L i n u x ， O p e n B S D ， N e t B S D ， F r e e B S D 及 S o l a r i s 系 统 。 而 涉 及 的 软 件 程 序 则 包 括   D e b i a n ， U b u n t u   和   C e n t O S   上 的   S u d o   ； D e b i a n 上 的   E x i m   ； S o l a r i s   1 1 上 的   r s h   等 等 。 R e d H a t   E n t e r p r i s e   L i n u x   5 至 7 ， E n t e r p r i s e   M R G   2 . 5   和   V i r t u a l i z a t i o n   以 及   R H E L   A t o m i c   H o s t   也 受 S t a c k   C l a s h   影 响 。 后 续 研 究 后 续 研 究 当 然 目 前 要 实 现 这 种 攻 击 的 话 ， 攻 击 者 需 要 本 地 访 问 ， 远 程 的 攻 击 方 法 还 不 清 楚 。 现 在 利 用 这 个 漏 洞 的 攻 击 方 法 是 经 典 的 权 限 提 升 （ E o P ） 漏 洞 。 由 于 E o P 问 题 需 要 攻 击 者 已 侵 入 到 用 户 系 统 中 才 能 进 行 ， 一 般 情 况 下 并 不 会 认 为 是 一 个 危 险 的 问 题 。 Q u a l y s   表 示 ， 他 们 会 汇 总 各 种 操 作 系 统 上 的   S t a c k   C l a s h   的   P o C   漏 洞 ， 之 后 会 一 并 公 开 。 所 有   P o C   都 要 求 攻 击 者 具 有 本 地 访 问 权 限 ， 但 研 究 人 员 不 排 除 攻 击 者 可 以 从 远 程 位 置 （ 例 如 通 过   H T T P   请 求 或   J a v a S c r i p t   代 码 ） 利 用   S t a c k C l a s h   的 某 些 情 况 。 系 统 供 应 商 跟 进 系 统 供 应 商 跟 进 R e d   H a t   已 经 为   S t a c k   C l a s h   漏 洞 发 布 了 安 全 修 补 程 序 ， Q u a l y s   表 示 其 他 供 应 商 也 会 很 快 跟 进 提 供 相 应 的 补 丁 。 如 果 用 户 无 法 更 新 ， 操 作 系 统 所 有 者 可 以 将 本 地 用 户 和 远 程 服 务 的   R L I M I T _ S T A C K   和   R L I M I T _ A S   设 置 为 低 一 些 的 数 值 。 当 然 ， 这 样 设 置 会 导 致 应 用 程 序 的 内 存 变 小 ， 因 此 无 意 中 会 对 机 器 的 性 能 产 生 一 定 的 影 响 。 < 点 击 阅 读 原 文 ， 查 看 原 报 告 > * 参 考 来 源 ： t h e r e g i s t e r ， b l e e p i n g c o m p u t e r ， E l a i n e 编 译 ， 转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理