Kernel Local Privilege Escalation "Dirty COW" - CVE-2016-5195

COMO CRIAR E UTILIZAR A SOLUÇÃO ALTERNATIVA SYSTEMTAP

A contramedida Systemtap envolve criar um módulo kernel (como um driver) utilizando um script systemtap que intercepta a chamada de sistema vulnerável. Ele é utilizado como uma solução provisória até que um kernel corrigido seja iniciado na máquina afetada. Esta solução não requer uma reinicialização e aplica-se ao RHEL 5, 6 e 7.

Não é possível criar um módulo que se aplique a todos os kernels. Nem mesmo para uma família (ex.: todos RHEL 5,6 ou 7). Cada versão específica de kernel requer um .ko gerado para aquele kernel particular (uname -r)

REQUISITOS

Para poder criar o módulo systemtap, são necessários os seguintes pacotes:

• systemtap-client
• systemtap-devel
• gcc (e dependências)
• kernel-devel-`uname -r`
• kernel-debuginfo-`uname -r`
• kernel-debuginfo-common-`uname -r`

ALERTA: Os pacotes de 'kernel' exigem a mesma versão do kernel em funcionamento. O download da versão mais recente não permitirá o funcionamento do systemtap. Por favor, faça o download da versão exata que está executando.

ONDE OBTER INFORMAÇÕES DE DEPURAÇÃO

Por favor, consulte a base de conhecimento https://access.redhat.com/solutions/9907

COMO CRIAR O MÓDULO

1. Depois de instalar os pacotes, crie um arquivo com o nome dirtycow.stp com o seguinte conteúdo:

probe kernel.function("mem_write").call ? {
        $count = 0
}

probe syscall.ptrace {  // includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195 mitigation loaded")
}


probe end {
        printk(0, "CVE-2016-5195 mitigation unloaded")
}
										

2. Salve o arquivo. Para compilá-lo, utilize o seguinte comando:

# stap -g -p 4 -m dirtycow_`uname -r|tr -cd [:digit:]` dirtycow.stp
dirtycow_26183985.ko
											

No exemplo acima, o arquivo .ko possui um número identificando a versão de seu kernel. Neste caso, é 2.6.18-398.el5. Este módulo pode ser utilizado em outros sistemas com esta exata versão de kernel, sem ter a necessidade de instalar o debugs/debuginfos/systemtap. Só é necessário copiar o arquivo para o servidor com o mesmo kernel e prosseguir à próxima etapa.

3. Para carregar o módulo, execute o comando insmod <.ko file>. Por exemplo:

# insmod dirtycow_26183985.ko
												

4. Verifique se está carregado:

# lsmod| grep dirty
dirtycow_26183985   101688  0
													

5. Para descarregar o módulo utilize o comando rmmod ou reinicialize o sistema.

IMPORTANTE

• O módulo não sobrevive uma inicialização: não é recarregado após uma inicialização do sistema.
• Após uma reinicialização, o módulo deve ser carregado manualmente mais uma vez.
• Se o kernel for atualizado ou modificado, este módulo não será carregado em um novo kernel.
• Se você iniciou em um kernel diferente sem a correção, um novo módulo compatível deve ser carregado.
• Um kernel corrigido não precisa carregar o módulo.