Kernel Local Privilege Escalation "Dirty COW" - CVE-2016-5195

EINRICHTEN UND VERWENDEN DES SYSTEMTAP-WORKAROUNDS

Bei dem systemtap-Workaround wird ein Kernel-Modul erstellt (wie ein Treiber), das ein systemtap-Skript einsetzt, um den gefährdeten Systemaufruf abzufangen. Dies stellt lediglich eine Übergangslösung dar, bis ein aktualisierter Kernel in den betroffenen Rechner gebootet wird. Diese Übergangslösung erfordert keinen Neustart und kann für RHEL 5, 6 und 7 verwendet werden.

Es ist nicht möglich, ein Modul zu erstellen, das für alle Kernels verwendet werden kann, nicht einmal für eine Kernel-Familie (z.B. alle RHEL 5, 6 oder 7 Kernels). Jede einzelne Kernel-Version erfordert eine separate .ko für den jeweiligen Kernel (uname -r).

ANFORDERUNGEN

Die folgenden Pakete sind erforderlich, um das systemtap-Modul zu erstellen:

• systemtap-client
• systemtap-devel
• gcc (sowie Abhängigkeiten)
• kernel-devel-`uname -r`
• kernel-debuginfo-`uname -r`
• kernel-debuginfo-common-`uname -r`

WARNUNG: Das „kernel“ Paket muss von derselben Version sein wie der laufende Kernel. Wenn Sie die neueste Version herunterladen, kann systemtap nicht funktionieren. Bitte laden Sie die exakte Version des laufenden Kernels herunter.

WO BEKOMME ICH DIE DEBUGINFOS

Siehe Knowledgebase https://access.redhat.com/solutions/9907

WIE ERSTELLE ICH DAS MODUL

1. Nachdem Sie die Pakete installiert haben, erstellen Sie eine Datei namens dirtycow.stp mit dem folgenden Inhalt:

probe kernel.function("mem_write").call ? {
        $count = 0
}

probe syscall.ptrace {  // includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195 mitigation loaded")
}


probe end {
        printk(0, "CVE-2016-5195 mitigation unloaded")
}
										

2. Speichern Sie die Datei. Kompilieren Sie sie mit dem folgenden Befehl:

# stap -g -p 4 -m dirtycow_`uname -r|tr -cd [:digit:]` dirtycow.stp
dirtycow_26183985.ko
											

In dem obigen Beispiel trägt die .ko Datei eine Nummer, die ihre Kernel-Version identifiziert – in diesem Fall 2.6.18-398.el5. Dieses Modul kann auch in anderen Systemen mit dieser exakten Kernel-Version verwendet werden, ohne dazu debugs/debuginfos/systemtap installieren zu müssen. Kopieren Sie einfach die Datei auf den Server mit derselben Kernel-Version und fahren Sie mit dem nächsten Schritt fort.

3. Um das Modul zu laden, führen Sie den Befehl insmod <.ko-Datei> aus. Zum Beispiel:

# insmod dirtycow_26183985.ko
												

4. Vergewissern Sie sich, dass das Modul geladen ist:

# lsmod| grep dirty
dirtycow_26183985   101688  0
													

5. Um das Module zu entladen, verwenden Sie den rmmod-Befehl oder starten Sie das System neu.

Wichtig

• Das Modul bleibt nicht über einen Neustart hinweg bestehen, denn nach einem Systemneustart wird es nicht wieder geladen.
• Nach einem Neustart muss das Modul daher erneut geladen werden.
• Falls der Kernel aktualisiert oder geändert wird, dann wird dieses Modul nicht in den neuen Kernel geladen.
• Falls Sie in einen anderen Kernel booten, in dem diese Sicherheitslücke noch nicht behoben ist, sollten Sie ein neues, kompatibles Modul laden.
• Ein Kernel, in dem diese Sicherheitslücke behoben wurde, benötigt dieses Modul nicht.