Kernel Local Privilege Escalation "Dirty COW" - CVE-2016-5195

CÓMO CONSTRUIR Y UTILIZAR LA SOLUCIÓN SYSTEMTAP

La contramedida systemtap implica la creación de un módulo de kernel (como un controlador) mediante un script systemtap que intercepta la llamada del sistema vulnerable. Se utiliza como una solución stopgap hasta que el kernel corregido sea iniciado en la máquina afectada. Esta solución no requiere un reinicio y se aplica a RHEL 5 6 y 7.

No es posible hacer un módulo que aplique a todos los kernel. Ni siquiera para una familia (e.g., Todos los RHEL5, 6 o 7). Cada versión de kernel requiere un archivo .ko generado para dicho kernel (uname -r).

REQUERIMIENTOS

Para construir el módulo systemtap, se requieren los siguientes paquetes:

• systemtap-client
• systemtap-devel
• gcc (and dependencies)
• kernel-devel-`uname -r`
• kernel-debuginfo-`uname -r`
• kernel-debuginfo-common-`uname -r`

ADVERTENCIA: Los paquetes 'kernel' requieren la misma versión que ejecuta el kernel. Al descargar la versión más reciente impedirá el funcionaminto de systemtap. Por favor descargue la versión exacta en ejecución.

DÓNDE OBTENER LA INFORMACIÓN DE DEPURACIÓN

Por favor consulte la base de conocimientos (KB) https://access.redhat.com/solutions/9907

CÓMO CONSTRUIR EL MÓDULO

1. Después de instalar los paquetes, cree el archivo denominado dirtycow.stp con este contenido:

probe kernel.function("mem_write").call ? {
        $count = 0
}

probe syscall.ptrace {  // includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195 mitigation loaded")
}


probe end {
        printk(0, "CVE-2016-5195 mitigation unloaded")
}
										

2. Guarde el archivo. Compílelo mediante este comando:

# stap -g -p 4 -m dirtycow_`uname -r|tr -cd [:digit:]` dirtycow.stp
dirtycow_26183985.ko
											

En el ejemplo anterior, el archivo .ko tiene un número que identifica su versión de kernel. En ese caso. es 2.6.18-398.el5. Este módulo puede utilizarse en otros sistemas con la versión de kernel exacta, sin tener que instalar debugs/debuginfos/systemtap. Solo copie el archivo al servidor con el mismo kernel y prosiga al siguiente paso.

3. Para cargar el módulo, ejecute el comando insmod <.ko file>. Por ejemplo:

# insmod dirtycow_26183985.ko
												

4. Verifique si está cargado:

# lsmod| grep dirty
dirtycow_26183985   101688  0
													

5. Para descargar el módulo, use el comando rmmod o reinicie el sistema.

IMPORTANTE

• El módulo no sobrevive el arranque: no es vuelto a cargar tras de un arranque del sistema.
• Después del reinicio, el módulo debe volverse a cargar de forma manual.
• Si se ha actualizado o cambiado el kernel, este módulo debe cargarse en el nuevo kernel.
• Si arrancó en un kernel diferente sin la corrección, se deberá cargar un nuevo módulo compatible.
• Un kernel corregido no necesita la carga del módulo.