CVE-2022-0847
Linux Kernel Privilege Escalation Vulnerability
Beschreibung
CVE-2022-0847, bekannt als die "Dirty Pipe"-Schwachstelle, ist ein Fehler durch unsachgemäße Initialisierung im Linux-Kernel, der es einem unprivilegierten lokalen Benutzer ermöglicht, seine Berechtigungen auf Root-Ebene zu eskalieren. Die Schwachstelle existiert im Pipe-Buffer-Handling des Linux-Kernels, wo eine fehlende Initialisierung des flags-Members in einer neu zugewiesenen Pipe-Buffer-Struktur es einem Angreifer ermöglicht, Daten in beliebigen gecachten Nur-Lese-Dateien zu überschreiben, einschließlich SUID-Binärdateien. Die CISA hat CVE-2022-0847 in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen und damit die aktive Ausnutzung bestätigt. Das EPSS-Perzentil von etwa 99,3 % weist auf nahezu sichere Ausnutzungsaktivität hin und spiegelt die triviale Ausnutzbarkeit und weitreichende Auswirkung von Dirty Pipe auf Linux-Systeme wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| linux | linux kernel | >= 5.8, < 5.10.102; >= 5.15, < 5.15.25; >= 5.16, < 5.16.11 |
| fedoraproject | fedora | 35 |
| redhat | enterprise linux | 8.0 |
| redhat | enterprise linux eus | 8.2; 8.4 |
| redhat | enterprise linux for ibm z systems | 8.0 |
| redhat | enterprise linux for ibm z systems eus | 8.2; 8.4 |
| redhat | enterprise linux for power little endian | 8.0 |
| redhat | enterprise linux for power little endian eus | 8.2; 8.4 |
| redhat | enterprise linux for real time | 8 |
| redhat | enterprise linux for real time for nfv | 8 |
| redhat | enterprise linux for real time for nfv tus | 8.2; 8.4 |
| redhat | enterprise linux for real time tus | 8.2; 8.4 |
| redhat | enterprise linux server aus | 8.2; 8.4 |
| redhat | enterprise linux server for power little endian update services for sap solutions | 8.1; 8.2; 8.4 |
| redhat | enterprise linux server tus | 8.2; 8.4 |
| redhat | enterprise linux server update services for sap solutions | 8.1; 8.2; 8.4 |
| redhat | codeready linux builder | - |
| redhat | virtualization host | 4.0 |
| ovirt | ovirt-engine | 4.4.10.2 |
| netapp | h300s firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166229/Dirty-Pipe-Linux-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/166230/Dirty-Pipe-SUID-Binary-Hijack-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/166258/Dirty-Pipe-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/176534/Linux-4.20-KTLS-Read-Only-Write.html(Third Party Advisory, VDB Entry)
- https://bugzilla.redhat.com/show_bug.cgi?id=2060795(Issue Tracking, Patch, Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-222547.pdf(Third Party Advisory)
- https://dirtypipe.cm4all.com/(Exploit, Third Party Advisory)
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0015(Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20220325-0005/(Third Party Advisory)
- https://www.suse.com/support/kb/doc/?id=000020603(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-0847(US Government Resource)
Schwachstellentyp
CWE-665: Improper Initialization
Die Dirty-Pipe-Schwachstelle im Linux-Kernel wird durch eine unsachgemäße Initialisierung des Flags-Felds eines Pipe-Buffers verursacht. Wenn eine neue Pipe-Buffer-Seite zugewiesen wird, wird das PIPE_BUF_FLAG_CAN_MERGE-Flag nicht gelöscht und behält das Flag einer vorherigen Verwendung derselben Seite bei. Dies ermöglicht es einem Angreifer, Daten in Seiten im Page Cache zu schreiben, die zu Nur-Lese-Dateien gehören, wobei alle Dateiberechtigungsprüfungen umgangen werden.
Mehr erfahren: CWE-665 — Improper Initialization
Auswirkungsanalyse
CVE-2022-0847 ist eine lokale Privilegieneskalations-Schwachstelle, die lediglich unprivilegierten Zugriff auf ein Linux-System erfordert, aber keine besonderen Berechtigungen oder Benutzerinteraktion zur Ausnutzung benötigt. Die Dirty-Pipe-Schwachstelle ermöglicht es jedem lokalen Benutzer, beliebige gecachte Nur-Lese-Dateien im Page Cache zu überschreiben, was dazu genutzt werden kann, SUID-Binärdateien zu modifizieren, Code in laufende Prozesse einzuschleusen oder kritische Systemdateien wie /etc/passwd direkt zu überschreiben, um Root-Zugriff zu erlangen. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind schwerwiegend: Ein Angreifer mit Root-Zugriff kann alle Daten auf dem System lesen, jede Datei oder Konfiguration ändern und jeden Dienst oder Prozess stören. Das EPSS-Perzentil von etwa 99,3 % platziert Dirty Pipe unter den am meisten ausgenutzten Linux-Kernel-Schwachstellen, und die Einfachheit der Ausnutzung mit nur wenigen Zeilen C-Code macht sie für Angreifer aller Fähigkeitsstufen zugänglich.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-0847 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 99,3 % deutet auf nahezu sichere Ausnutzungsaktivität hin und macht Dirty Pipe zu einer der am aktivsten ausgenutzten Linux-Kernel-Schwachstellen der letzten Jahre. Mehrere öffentliche Proof-of-Concept-Exploits sind seit der Erstveröffentlichung verfügbar, wobei der ursprüngliche Forscher einen sauberen, zuverlässigen Exploit veröffentlicht hat, der die Privilegieneskalation in Sekunden demonstriert. Die triviale Natur der Ausnutzung, kombiniert mit der weiten Verbreitung verwundbarer Linux-Kernel-Versionen (5.8 und höher), hat CVE-2022-0847 zu einem festen Bestandteil in Angreifer-Toolkits für Linux-Post-Exploitation gemacht.
Behebung
-
Linux-Kernel sofort aktualisieren auf Version 5.16.11, 5.15.25 oder 5.10.102 oder höher, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Wenden Sie distributionsspezifische Kernel-Updates (Ubuntu, RHEL, Debian, SUSE usw.) an, die den Dirty-Pipe-Fix zurückportieren.
-
Patching für Container-Hosts und Cloud-Infrastruktur priorisieren, die Linux-Kernel-Versionen 5.8 bis 5.16.10 ausführen, da Dirty Pipe aus Containern heraus ausgenutzt werden kann, um auf das Host-System auszubrechen, wenn der Container den Host-Kernel teilt. Überprüfen Sie Kernel-Versionen auf allen Container-Orchestrierungsknoten.
-
Systeme auf Kompromittierungsindikatoren auditieren, indem auf nicht autorisierte Modifikationen von SUID-Binärdateien, Änderungen an kritischen Systemdateien wie
/etc/passwdoder/etc/shadowund Hinweise auf Privilegieneskalation von unprivilegierten Benutzerkonten geprüft wird. -
Kernel-Härtungsmaßnahmen implementieren als Zwischenmaßnahmen, wo sofortiges Patching nicht möglich ist. Aktivieren Sie den Kernel-Lockdown-Modus, setzen Sie SELinux oder AppArmor im Enforcing-Modus ein und verwenden Sie Seccomp-Profile zur Einschränkung der für unprivilegierte Prozesse verfügbaren Systemaufrufe.
-
Runtime-Sicherheitsüberwachung einsetzen mit Tools, die Pipe-basierte Ausnutzungsmuster, unerwartete Schreibzugriffe auf Nur-Lese-Dateien und Privilegieneskalation aus unprivilegierten Benutzerkontexten erkennen können. Implementieren Sie hostbasierte Intrusion Detection, die Dirty-Pipe-Ausnutzungssignaturen überwacht.
Technische Details
CVE-2022-0847 nutzt einen Fehler durch unsachgemäße Initialisierung (CWE-665) im Pipe-Subsystem des Linux-Kernels aus, insbesondere in der Handhabung von Pipe-Buffer-Flags beim Splicing von Daten aus einer Datei in eine Pipe. Wenn die Seite eines Pipe-Buffers verbraucht und eine neue Seite zugewiesen wird, behält das flags-Feld der pipe_buffer-Struktur das PIPE_BUF_FLAG_CAN_MERGE-Flag aus der vorherigen Bufferverwendung bei, anstatt auf Null initialisiert zu werden. Ein Angreifer kann dies ausnutzen, indem er zunächst eine Pipe füllt, um das Merge-Flag auf allen Pipe-Seiten zu setzen, dann den Pipe-Buffer-Inhalt leert und schließlich den splice()-Systemaufruf verwendet, um aus einer Nur-Lese-Zieldatei in die Pipe zu lesen, gefolgt vom Schreiben angreiferkontrollierter Daten, die in den Page-Cache-Eintrag der Datei gemerged werden. Dieser Page-Cache-Schreibzugriff umgeht alle Dateiberechtigungsprüfungen, da er auf Kernel-Ebene über die Pipe-Merge-Operation statt über den normalen Dateischreibpfad erfolgt.
Häufig gestellte Fragen
Wird CVE-2022-0847 aktiv ausgenutzt?
Ja, CVE-2022-0847 (Dirty Pipe) wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 99,3 % bestätigt nahezu sichere Ausnutzung, wobei mehrere öffentliche Exploits seit der Veröffentlichung verfügbar sind.
Welche Produkte sind von CVE-2022-0847 betroffen?
CVE-2022-0847 betrifft Linux-Systeme mit Kernel-Versionen 5.8 bis 5.16.10, 5.15.24 oder 5.10.101. Dies umfasst alle großen Linux-Distributionen (Ubuntu, RHEL, Debian, SUSE usw.), Container-Hosts, Cloud-Instanzen und alle eingebetteten Geräte mit betroffenen Kernel-Versionen.
Wie behebe ich CVE-2022-0847?
Aktualisieren Sie den Linux-Kernel auf Version 5.16.11, 5.15.25 oder 5.10.102 oder höher. Wenden Sie distributionsspezifische Kernel-Updates an. Als Zwischenmaßnahme aktivieren Sie Kernel-Härtungsfunktionen wie SELinux-Enforcing-Modus und beschränken Sie den Zugriff unprivilegierter Benutzer.
Wie schwerwiegend ist CVE-2022-0847?
CVE-2022-0847 ist eine äußerst schwerwiegende Schwachstelle mit einem EPSS-Perzentil von etwa 99,3 %. Dirty Pipe ermöglicht es jedem unprivilegierten lokalen Benutzer, mit einem trivialen Exploit auf Root-Berechtigungen zu eskalieren, was sie zu einer der wirkungsvollsten Linux-Kernel-Schwachstellen der letzten Jahre macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.