Linux kernel CVE-2016-5195 exploit code – 応急処置

Facebooktwittergoogle_plusmail

先日、CVE-2016-5195のexploit codeでの検証記事を記載しました。
この時は簡単にroot奪取ができました。

Linux kernel CVE-2016-5195 exploit code

こちらにRedHatでの応急処置が記載されていました。
Bug 1384344 – (CVE-2016-5195) CVE-2016-5195 kernel: mm: privilege escalation via MAP_PRIVATE COW breakage
https://bugzilla.redhat.com/show_bug.cgi?id=1384344

またRedHatのサイトに脆弱性チェックスクリプトがあります。
Kernel Local Privilege Escalation – CVE-2016-5195
https://access.redhat.com/security/vulnerabilities/2706661
image20161025215535

【検証環境】
・Red Hat Enterprise Linux Server release 6.8 (Santiago)
・kernel: 2.6.32-642.el6.x86_64

  1. 脆弱性チェック
  2. 脆弱性があります。

    image20161025212710

  3. 応急処置に必要なプログラム
  4. 応急処置に必要な下記のプログラムをインストールします。
    kernel-devel-$(uname -r)
    kernel-debuginfo-$(uname -r)
    systemtap

    今回の検証環境では下記をインストールします。但しkernel-debuginfo-$(uname -r)はインストール用DVDにも無いのでRHNからrpmでダウンロードしました。
    ※RedHatのサイトより

    RHEL 6 の debuginfo パッケージは、Red Hat 社のパブリックな FTP サイトからは現在提供していません。Red Hat Network (RHN) クラシックおよび Red Hat Satellite からダウンロードしてください。

    kernel-devel-2.6.32-642.el6.x86_64
    kernel-debuginfo-2.6.32-642.el6.x86_64
    systemtap-2.9-4.el6.x86_64

    証明書エラーが表示されたら強制インストールして下さい。
    サブスクリプション登録していないと証明書エラーになると思います。

  5. dirtycow.stp作成
  6. ファイル名は何でもいいのですが、拡張子を”.stp”にします。

  7. バックグラウンドで起動
  8. 起動中のみ応急処置が有効になります。FGで起動して別コンソールで作業をしてもいいです。

  9. 脆弱性チェック
  10. 再度チェックしてみます。
    カーネルは脆弱性があるけど応急処置が施されています。一般的な攻撃からは保護できますが完全ではないので、なるべく早くアップデートして下さいってところでしょうか。

    image20161025223536

前回同様exploit codeのc0w.cで検証しましたがroot奪取はできませんでした。
10/25現在まだアップデートは提供されていません。

【10/26/2016 追記】
RHEL 7/CentOS 7の修正カーネルが提供されました。
kernel-3.10.0-327.36.3.el7

https://access.redhat.com/security/cve/cve-2016-5195
RHEL/CentOS 5,6はまだのようです。

【10/27/2016 追記】
RHEL 6/CentOS 6の修正カーネルが提供されました。
kernel-2.6.32-642.6.2.el6

【10/28/2016 追記】
RHEL 5/CentOS 5の修正カーネルが提供されました。
kernel-2.6.18-416

Leave a Reply

  

  

  


*