'Dirty Pipe'로 알려진 새로운 Linux 취약점으로 인해 로컬 사용자는 공개적으로 사용 가능한 익스플로잇을 통해 루트 권한을 얻을 수 있습니다.

보안 연구원 Max Kellermann은 'Dirty Pipe' 취약점을 공개했으며 Android 기기에서도 Linux Kernel 5.8 이상 버전에 영향을 미친다고 밝혔습니다.

해당 취약점은 CVE-2022-0847로 등록되었으며 권한이 없는 사용자가 루트로 실행되는 SUID 프로세스를 포함하여 읽기 전용 파일에 데이터를 삽입하고 덮어쓸 수 있습니다.

Kellerman은 고객의 웹 서버 액세스 로그를 손상시키는 버그를 조사한 후 이 취약점을 발견했습니다.

Kellerman은 취약점이 2016년에 수정된 Dirty COW 취약점 (CVE-2016-5195)과 유사하다고 밝혔습니다.

공개된 익스플로잇으로 루트 권한을 획득합니다.

Dirty Pipe 공개 의 일환으로 Kellerman은 로컬 사용자가 자신의 데이터를 민감한 읽기 전용 파일에 삽입할 수 있는 개념 증명(PoC) 익스플로잇을 발표했습니다. .

예를 들어, 보안 연구원 Phith0n 은 루트 사용자가 암호를 갖지 않도록 익스플로잇을 사용하여 /etc/passwd 파일을 수정하는 방법을 설명했습니다. 이 변경이 이루어지면 권한이 없는 사용자는 단순히 ' su root' 명령을 실행하여 루트 계정에 액세스할 수 있습니다.

그러나 보안 연구원 BLASTY 의 업데이트된 익스플로잇 도 오늘 공개되어 /usr/bin/su 명령을 패치하여 /tmp/sh에 루트 셸을 삭제한 다음 스크립트를 실행하여 루트 권한을 훨씬 쉽게 얻을 수 있습니다.

실행되면 사용자는 5.13.0-27 일반 커널을 실행하는 Ubuntu 20.04.3 LTS의 아래 그림에서 설명한 대로 루트 권한을 얻습니다.

취약점을 이용한 공격 사례1,2(출처 : twitter)

취약점은 2022년 2월 20일부터 Linux 커널 보안 팀과 Android 보안 팀을 포함한 다양한 Linux 유지 관리자에게 공개되었습니다.

Linux 커널 5.16.11, 5.15.25 및 5.10.102에서 버그가 수정되었지만 많은 서버에서 계속해서 오래된 커널을 실행하므로 이 악용의 릴리스는 서버 관리자에게 중요한 문제입니다.

또한 이러한 익스플로잇을 사용하여 루트 권한을 쉽게 얻을 수 있기 때문에 공격자가 공격을 수행할 때 취약점을 사용하기 시작하는 것은 시간 문제일 뿐입니다. 유사한 Dirty COW 취약점은 악용하기 더 어려웠음에도 불구하고 이전에 맬웨어에 사용되었습니다 .

이 버그는 Linux 셸 액세스를 제공하는 웹 호스팅 제공업체나 다중 사용자 Linux 시스템에 대한 셸 액세스를 일반적으로 제공하는 대학에 특히 중요합니다.

Linux는 12개월이라는 힘든 시간을 보냈으며, 많은 세간의 이목을 끄는 권한 상승 취약점이 공개되었습니다.

여기에는 Linux iSCSI 하위 시스템 의 권한 상승 취약성 , 또 다른 커널 버그 , eBPF( Extended Berkeley Packet Filter ) 및 Polkit의 pkexec 구성 요소가 포함 됩니다.

(출처:
https://www.bleepingcomputer.com/news/security/new-linux-bug-gives-root-on-all-major-distros-exploit-released/
https://dirtypipe.cm4all.com/ )

보안관제센터 MIR Team