Kernel Local Privilege Escalation "Dirty COW" - CVE-2016-5195

systemtap による回避策のビルドおよび使用方法

systemtap による対策では、脆弱なシステムコールを傍受する systemtap スクリプトを使用して (ドライバーなどの) カーネルモジュールを作成します。これは、修正されたカーネルが影響を受けるマシンで起動されるまでの応急処置として使用されます。このソリューションは再起動を必要とせず、RHEL 5、6、および 7 に適用されます。

すべてのカーネルに適用されるモジュールを作成することはできません。ファミリー (RHEL 5、6、または 7 すべて) の場合も同様です。特定のカーネルバージョンごとに、そのカーネル (uname -r) の .ko を生成する必要があります。

要件

sytemtap モジュールをビルドするには、以下のパッケージが必要になります。

• systemtap-client
• systemtap-devel
• gcc (およびその依存関係)
• kernel-devel-`uname -r`
• kernel-debuginfo-`uname -r`
• kernel-debuginfo-common-`uname -r`

警告: 'kernel' パッケージは実行中のカーネルと同じバージョンである必要があります。最新バージョンをダウンロードすると systemtap が動作しなくなります。実行中のカーネルと同じバージョンをダウンロードしてください。

debuginfo パッケージの入手

KB ( https://access.redhat.com/solutions/9907 ) を参照してください。

モジュールのビルド方法

1. 必要なパッケージをインストールした後に、以下の内容が含まれる dirtycow.stp という名前のファイルを作成します。

probe kernel.function("mem_write").call ? {
        $count = 0
}

probe syscall.ptrace {  // includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195 mitigation loaded")
}


probe end {
        printk(0, "CVE-2016-5195 mitigation unloaded")
}
                  

2. ファイルを保存します。以下のコマンドを実行してコンパイルします。

# stap -g -p 4 -m dirtycow_`uname -r|tr -cd [:digit:]` dirtycow.stp
dirtycow_26183985.ko
                    

上記の例では、.ko ファイル名にカーネルバージョンを特定する番号があります。この例では 2.6.18-398.el5 になります。このモジュールは、debuginfo および development パッケージをインストールせずに、同じカーネルバージョンの他のシステムで使用することができます。必要なのは systemtap-runtime のみになります。同じカーネルバージョンを持つサーバーにモジュールファイルをコピーし、systemtap-runtime パッケージをインストールして、次の手順に進みます。

3. コマンド staprun -L <.ko file> を実行し、モジュールをロードします。以下は例になります。

# staprun -L dirtycow_26183985.ko
                      

4. ロードされているかどうかを確認します。

# dmesg | grep CVE-2016-5195
CVE-2016-5195 mitigation loaded
                        

5. モジュールをアンロードするには、システムを再起動するか、次に示すようにコマンド「staprun -A dirtycow_26183985」を実行して Ctlr+C で割り込みを行います。

# staprun -A dirtycow_26183985
^C
Message from syslogd@...
kernel:CVE-2016-5195 mitigation unloaded
                          

重要

• モジュールは起動後に維持されません。つまり、システムのブート後にリロードされません。
• 再起動後は、モジュールを手動で再ロードする必要があります。
• カーネルが更新または変更されていると、このモジュールは新しいカーネルにロードされません。
• 修正なしの別のカーネルでブートすると、新しい互換性のあるモジュールがロードされるはずです。
• 修正されたカーネルにモジュールをロードする必要はありません。