CVE-2021-3493
Linux Kernel Privilege Escalation Vulnerability
Beschreibung
CVE-2021-3493 ist eine Privilegien-Eskalations-Schwachstelle in der Overlayfs-Implementierung des Linux-Kernels, die es einem lokalen nicht privilegierten Benutzer ermöglicht, Root-Zugang zu erlangen. Der Fehler besteht darin, dass das Overlayfs-Dateisystem die Anwendung von Dateifähigkeiten (File Capabilities) gegenüber Benutzer-Namespaces nicht ordnungsgemäß validiert. Mit einem EPSS-Score von 75,55 % (98,88. Perzentil) ist eine aktive Ausnutzung sehr wahrscheinlich. Die CISA hat CVE-2021-3493 am 20. Oktober 2022 in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| canonical | ubuntu linux | < 18.04; >= 18.04.1, < 20.04; < 20.10 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/162434/Kernel-Live-Patch-Security-Notice-LSN-0076-1.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/162866/Ubuntu-OverlayFS-Local-Privilege-Escalation.html(Press/Media Coverage, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/165151/Ubuntu-Overlayfs-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=7c03e2cda4a584cadc398e8f6641ca9988a39d52(Mailing List, Patch, Third Party Advisory)
- https://ubuntu.com/security/notices/USN-4917-1(Vendor Advisory)
- https://www.openwall.com/lists/oss-security/2021/04/16/1(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-3493(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
CVE-2021-3493 basiert auf einer fehlerhaften Privilegienverwaltung in der Overlayfs-Implementierung des Linux-Kernels. Der Kernel prüft bei der Anwendung von File Capabilities im Kontext von Benutzer-Namespaces nicht korrekt, ob der Benutzer die erforderlichen Berechtigungen im initialen Root-Namespace besitzt.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2021-3493 ist eine lokale Privilegien-Eskalations-Schwachstelle mit hohem Schweregrad, die nur lokalen Zugang mit geringen Berechtigungen erfordert und keine Benutzerinteraktion voraussetzt. Die Angriffskomplexität ist gering, sodass die Ausnutzung nach Erlangung lokaler Rechte unkompliziert ist. Vertraulichkeit, Integrität und Verfügbarkeit sind kritisch betroffen, da ein erfolgreicher Angriff vollen Root-Zugang gewährt. Der EPSS-Score von 75,55 % bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle ist besonders gefährlich in Shared-Hosting-, Container- und Cloud-Umgebungen.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2021-3493 bestätigt und die Schwachstelle am 20. Oktober 2022 in den KEV-Katalog aufgenommen. Der EPSS-Score von 75,55 % (98,88. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Öffentlicher Exploit-Code ist breit verfügbar und zuverlässig nutzbar. Der Ransomware-Status ist als unbekannt eingestuft.
Behebung
- Linux-Kernel aktualisieren: Wenden Sie den Kernel-Patch an, der die fehlerhafte Overlayfs-Capability-Behandlung behebt. Für Ubuntu-Systeme wurden entsprechende Updates im April 2021 veröffentlicht.
- Benutzer-Namespaces einschränken: Falls ein sofortiges Kernel-Update nicht möglich ist, deaktivieren Sie unprivilegierte Benutzer-Namespaces über
kernel.unprivileged_userns_clone=0. - Container-Konfigurationen prüfen: Überprüfen Sie Container-Umgebungen mit Overlayfs auf gepatchte Kernel-Versionen.
- Privilegien-Eskalation überwachen: Prüfen Sie Systemprotokolle auf verdächtige Overlayfs-Mount-Operationen und unerwartete Capability-Änderungen.
- Kernel-Live-Patching einsetzen: Erwägen Sie Lösungen wie Canonical Livepatch oder KernelCare für unterbrechungsfreie Kernel-Updates.
Technische Details
CVE-2021-3493 nutzt einen Fehler in der Overlayfs-Implementierung des Linux-Kernels aus, bei dem File Capabilities nicht korrekt gegen Benutzer-Namespaces validiert werden. Das Overlayfs-Dateisystem ermöglicht das Schichten mehrerer Dateisystemebenen, wie es in Container-Laufzeiten wie Docker und LXC üblich ist. Wenn eine Datei in einem Overlay-Mount innerhalb eines Benutzer-Namespaces von einer unteren auf eine obere Schicht kopiert wird, wendet der Kernel Dateifähigkeiten an, ohne zu verifizieren, dass der Benutzer die erforderlichen Privilegien im Root-Benutzer-Namespace besitzt. Ein Angreifer kann einen Benutzer-Namespace erstellen, ein Overlayfs einbinden und Dateifähigkeiten so manipulieren, dass privilegierte Capabilities auf eine ausführbare Datei gesetzt werden. Wird diese Datei außerhalb des Namespace-Kontextes ausgeführt, läuft sie mit erhöhten Rechten und gewährt effektiv Root-Zugang.
Häufig gestellte Fragen
Wird CVE-2021-3493 aktiv ausgenutzt?
Ja, CVE-2021-3493 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle am 20. Oktober 2022 in den KEV-Katalog aufgenommen. Der EPSS-Score von 75,55 % bestätigt eine sehr hohe Ausnutzungsaktivität, und öffentlicher Exploit-Code ist breit verfügbar.
Welche Produkte sind von CVE-2021-3493 betroffen?
CVE-2021-3493 betrifft den Linux-Kernel, insbesondere die Overlayfs-Dateisystem-Implementierung. Ubuntu-Distributionen waren besonders betroffen, da sie unprivilegierte Benutzer-Namespaces standardmäßig aktivieren.
Wie behebe ich CVE-2021-3493?
Aktualisieren Sie den Linux-Kernel auf eine Version mit dem Overlayfs-Fix. Als Workaround deaktivieren Sie unprivilegierte Benutzer-Namespaces über den Sysctl-Parameter kernel.unprivileged_userns_clone=0.
Wie schwerwiegend ist CVE-2021-3493?
CVE-2021-3493 hat einen hohen Schweregrad mit einem EPSS-Score von 75,55 % (98,88. Perzentil). Die Schwachstelle ermöglicht lokalen Benutzern Root-Zugang bei geringer Angriffskomplexität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.