Kernel Local Privilege Escalation "Dirty COW" - CVE-2016-5195

如何构建和使用 SYSTEMTAP 临时解决方案

Systemtap 策略包括使用拦截有漏洞系统调用的 systemtap 脚本创建内核模块（类似驱动程序）。在使用修复的内核引导受影响的机器前，这只是权宜之计。这个解决方案不需要重启，并适用于 RHEL 5、6 和 7。

不可能生成适用于所有内核的模块，甚至无法为产品系列生成模块（比如所有 RHEL5、6 或 7）。每个具体内核版本都需要为给定内核（uname -r）生成 .ko 文件。

要求

要构建 systemtap 模块，需要安装以下软件包：

• systemtap-client
• systemtap-devel
• gcc（及相依性）
• kernel-devel-`uname -r`
• kernel-debuginfo-`uname -r`
• kernel-debuginfo-common-`uname -r`

警告：'kernel' 软件包版本需要与运行的内核版本相同。下载最新版本可造成 systemtap 无法工作。请下载与运行版本相同的版本。

在哪里可以找到 DEBUGINFOS

请参考知识库文档 https://access.redhat.com/solutions/9907

如何构建模块

1. 安装这些软件包后，创建 dirtycow.stp 文件，其内容如下：

probe kernel.function("mem_write").call ? {
        $count = 0
}

probe syscall.ptrace {  // includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195 mitigation loaded")
}


probe end {
        printk(0, "CVE-2016-5195 mitigation unloaded")
}
										

2. 保存该文件，并使用以下命令编译：

# stap -g -p 4 -m dirtycow_`uname -r|tr -cd [:digit:]` dirtycow.stp
dirtycow_26183985.ko
											

在上述示例中，.ko 文件有识别其内核版本的数字。在该示例中，此数字为 2.6.18-398.el5。可以在其他使用这个内核版本的系统中使用这个模块，而无需安装 debugs/debuginfos/systemtap。只要将该文件复制到采用相同内核版本的服务器中，并执行下述步骤即可。

3. 要载入模块，请运行命令 insmod <.ko file>。例如：

# insmod dirtycow_26183985.ko
												

4. 检查是否已载入该模块：

# lsmod| grep dirty
dirtycow_26183985   101688  0
													

5. 使用rmmod 命令或重启系统卸载该模块。

重要

• 引导后该模块会丢失：系统引导后不会重新载入该模块。
• 重启后，必须再次手动载入该模块。
• 如果更新或更改该内核，则不会在新内核栈载入这个模块。
• 如果引导至不同的内核而没有修复，则会载入新的兼容模块。
• 修正的内核不需要载入该模块。