Οι προγραμματιστές του Linux βρίσκονται σε διαδικασία επιδιόρθωσης μιας ευπάθειας υψηλής σοβαρότητας που, σε ορισμένες περιπτώσεις, επιτρέπει την εγκατάσταση κακόβουλου λογισμικού που λειτουργεί σε επίπεδο firmware, παρέχοντας πρόσβαση στα πιο βαθιά μέρη μίας συσκευής όπου είναι δύσκολο να ανιχνευθούν ή να αφαιρεθούν.
Δείτε επίσης: Το νέο ελάττωμα πυρήνα StackRot Linux επιτρέπει την κλιμάκωση των προνομίων
Η ευπάθεια βρίσκεται στο πρόγραμμα προσαρμογής συμβατότητας (shim), το οποίο στο πλαίσιο του Linux είναι ένα μικρό στοιχείο που εκτελείται στο firmware στην αρχή της διαδικασίας εκκίνησης πριν ξεκινήσει το λειτουργικό σύστημα. Συγκεκριμένα, το πρόγραμμα που συνοδεύει σχεδόν όλες τις διανομές Linux παίζει έναν κρίσιμο ρόλο στην ασφαλή εκκίνηση, μια προστασία που έχει ενσωματωθεί στις περισσότερες σύγχρονες υπολογιστικές συσκευές για να εξασφαλίσει ότι κάθε συνδεδεμένο κομμάτι στη διαδικασία εκκίνησης προέρχεται από έναν επαληθευμένο, αξιόπιστο προμηθευτή. Η επιτυχής εκμετάλλευση της ευπάθειας επιτρέπει στους επιτιθέμενους να απενεργοποιήσουν αυτόν τον μηχανισμό εκτελώντας κακόβουλο firmware στα πρώιμα στάδια της διαδικασίας εκκίνησης πριν το firmware της Unified Extensible Firmware Interface φορτωθεί και παραδώσει τον έλεγχο στο λειτουργικό σύστημα.
Η ευπάθεια, που καταγράφεται ως CVE-2023-40547, είναι ένα buffer overflow, ένα σφάλμα κωδικοποίησης που επιτρέπει στους επιτιθέμενους να εκτελούν κώδικα της επιλογής τους. Εντοπίζεται σε μια ενότητα του shim που επεξεργάζεται την εκκίνηση από έναν κεντρικό διακομιστή σε ένα δίκτυο χρησιμοποιώντας το ίδιο πρωτόκολλο HTTP που βασίζεται και το ίδιο το Ιnternet. Οι επιτιθέμενοι μπορούν να εκμεταλλευτούν την ευπάθεια εκτέλεσης κώδικα σε διάφορα σενάρια, σχεδόν όλα ακολουθώντας κάποια μορφή επιτυχούς παραβίασης είτε της συσκευής που επιτίθενται, είτε του διακομιστή ή του δικτύου από το οποίο η συσκευή εκκινείται.
Δείτε ακόμα: Το Linux 6.2 είναι πλέον εδώ με νέα χαρακτηριστικά!
Πιο συγκεκριμένα, αυτά τα σενάρια περιλαμβάνουν:
- Απόκτηση της ικανότητας παραβίασης ενός διακομιστή ή να δημιουργίας μιας απομίμησης του adversary-in-the-middle για να επίθεση σε μια συσκευή που ήδη έχει ρυθμιστεί να εκκινείται χρησιμοποιώντας το πρωτόκολλο HTTP.
- Ύπαρξη φυσικής πρόσβασης σε μια συσκευή ή απόκτηση διαχειριστικού ελέγχου, εκμεταλλευόμενοι μια ξεχωριστή ευπάθεια.
Η δυνατότητα παραβίασης ή προσποίησης ενός διακομιστή που επικοινωνεί με συσκευές μέσω HTTP, ο οποίος δεν είναι κρυπτογραφημένος και δεν απαιτεί πιστοποίηση, είναι υπαρκτή. Αυτά τα συγκεκριμένα σενάρια μπορεί να αποδειχθούν χρήσιμα εάν ένας επιτιθέμενος έχει ήδη κερδίσει κάποιο επίπεδο πρόσβασης στο εσωτερικό ενός δικτύου και αποσκοπεί στον έλεγχο των συνδεδεμένων συσκευών των χρηστών. Αυτά τα σενάρια, ωστόσο, επιλύονται κατά κύριο λόγο εάν οι διακομιστές χρησιμοποιούν το HTTPS, την παραλλαγή του HTTP που απαιτεί από έναν διακομιστή να επαληθεύσει την ταυτότητά του. Σε αυτήν την περίπτωση, ο επιτιθέμενος θα πρέπει πρώτα να πλαστογραφήσει το ψηφιακό πιστοποιητικό που χρησιμοποιεί ο διακομιστής για να αποδείξει ότι έχει την εξουσιοδότηση να παρέχει λογισμικό εκκίνησης σε συσκευές.
Δείτε επίσης: Linux Kernel 6.3: Δείτε τα νέα χαρακτηριστικά
Η δυνατότητα να αποκτήσετε φυσική πρόσβαση σε μία συσκευή είναι επίσης δύσκολη και ευρέως θεωρείται λόγος για να θεωρηθεί ότι ήδη έχει παραβιαστεί. Και φυσικά, η ήδη απόκτηση διοικητικού ελέγχου μέσω της εκμετάλλευσης μιας ξεχωριστής ευπάθειας στο λειτουργικό σύστημα είναι δύσκολη και επιτρέπει στους επιτιθέμενους να επιτύχουν κάθε είδους κακόβουλων στόχων.
Ποιες είναι οι καλύτερες πρακτικές για την πρόληψη μιας ευπάθειας buffer overflow;
- Η πρώτη και πιο σημαντική πρακτική είναι η χρήση γλωσσών προγραμματισμού που διαχειρίζονται αυτόματα τη μνήμη, όπως η Java ή η Python. Αυτές οι γλώσσες δεν επιτρέπουν την άμεση πρόσβαση στη μνήμη, εξαλείφοντας έτσι τον κίνδυνο των buffer overflow.
- Δεύτερον, χρησιμοποιήστε τεχνικές προγραμματισμού που περιορίζουν την πιθανότητα buffer overflow. Αυτό μπορεί να περιλαμβάνει τον έλεγχο των δεδομένων που εισάγονται σε έναν buffer, την αποφυγή της χρήσης συναρτήσεων υψηλού κινδύνου, όπως η strcpy στη C, και την επιβολή ορίων στο μέγεθος των δεδομένων που μπορεί να αποθηκευτούν σε έναν buffer.
- Τρίτον, χρησιμοποιήστε εργαλεία και τεχνικές για την ανίχνευση των buffer overflow. Αυτά μπορεί να περιλαμβάνουν τη χρήση εργαλείων ανάλυσης κώδικα, τη διεξαγωγή δοκιμών ασφαλείας και την εφαρμογή τεχνικών fuzzing.
- Τέλος, εφαρμόστε μια στρατηγική ασφάλειας πολλαπλών επιπέδων. Αυτό μπορεί να περιλαμβάνει τη χρήση τεχνικών όπως η απομόνωση των διεργασιών, η ενίσχυση της ασφάλειας του λειτουργικού συστήματος και η εφαρμογή μηχανισμών προστασίας της μνήμης, όπως η ASLR (Address Space Layout Randomization).
Πηγή: arstechnica
