Kernel Local Privilege Escalation "Dirty COW" - CVE-2016-5195

COMMENT CRÉER ET UTILISER LA SOLUTION DE CONTOURNEMENT SYSTEMTAP

La contre-mesure systemtap implique la création d’un module de noyau (comme un pilote) à l’aide d’un script systemtap, qui intercepte l’appel système vulnérable. Cette solution est une solution palliative utilisée jusqu'à ce qu’un noyau réparé soit chargé dans la machine affectée. Cette solution ne nécessite pas un redémarrage et s’applique à RHEL 5 6 et 7.

Il n'est pas possible de créer un module qui s'applique à tous les noyaux. Pas même pour une famille (par ex. les RHEL5,6 ou 7). Chaque version de noyau particulière requiert un .ko pour ce noyau donné (uname-r).

CONDITIONS PRÉALABLES

Pour pouvoir créer le module systemtap, les modules suivants sont requis :

• systemtap-client
• systemtap-devel
• gcc (et dépendences)
• kernel-devel-`uname -r`
• kernel-debuginfo-`uname -r`
• kernel-debuginfo-common-`uname -r`

ATTENTION : les packages de « noyau » ont besoin de la même version que le noyau en cours. Télécharger la dernière version empêchera systemtap de fonctionner. Veuillez télécharger la version exacte en cours.

OÙ PUIS-JE OBTENIR LES INFOS DE DÉBOGAGE

Veuillez consulter la Base de connaissance (KB) https://access.redhat.com/solutions/9907

COMMENT CRÉER LE MODULE

1. Une fois que vous aurez installé les packages, créer un fichier nommé dirtycow.stp avec le contenu suivant :

probe kernel.function("mem_write").call ? {
        $count = 0
}

probe syscall.ptrace {  // includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195 mitigation loaded")
}


probe end {
        printk(0, "CVE-2016-5195 mitigation unloaded")
}
										

2. Enregistrez le fichier. Le compiler par la commande suivante :

# stap -g -p 4 -m dirtycow_`uname -r|tr -cd [:digit:]` dirtycow.stp
dirtycow_26183985.ko
											

Dans l’exemple ci-dessus, le fichier .ko a un numéro identifiant la version du noyau. Dans ce cas, ce numéro correspond à 2.6.18-398.el5. Ce module peut être utilisé dans d’autres systèmes avec cette version de noyau exacte, sans avoir à installer debugs/debuginfos/systemtap. Il suffit de copier le fichier sur le serveur avec le même noyau, puis passez à l’étape suivante.

3. Pour pouvoir télécharger le module. exécuter la commande insmod <.ko file>. Exemple :

# insmod dirtycow_26183985.ko
												

4. Vérifiez s'il est chargé.

# lsmod| grep dirty
dirtycow_26183985   101688  0
													

5. Pour décharger le module, exécutez la commande rmmod ou redémarrer le système.

IMPORTANT

• Le module ne survit pas à un nouvel amorçage : il ne sera pas chargé à nouveau après un nouveau démarrage système.
• Après un nouveau démarrage système, le module doit être chargé manuellement à nouveau.
• Si le noyau est mis à jour ou modifié, ce module ne sera pas chargé dans le nouveau noyau.
• Si vous démarrez avec un noyau différent non réparé, il vous faudra télécharger un nouveau module compatible.
• Un noyau corrigé n'a pas besoin du chargement de module.