Manipulando o Kernel do Linux com o Dirty Cow

Por: Igor Jardim

A nova falha descoberta no sistema operacional Linux foi registrada nessa semana sob o código CVE-2016-5195 e apelidada de Dirty Cow. A falha está presente no sistema desde 2007, a partir da versão 2.6.22 do Kernel.

A falha recebeu o nome de Dirty Cow a partir do mecanismo Copy-On-Write (COW) do Kernel do Linux.

O Ataque

A falha do Kernel permite que qualquer programa ou aplicativo malicioso possa configurar uma condição de concorrência. A alteração permite alterar as permissões de executáveis que deveriam ser read-only. Um usuário comum poderia se utilizar dessa falha e escalar seu privilégio para o root do sistema.

Os motivos pelos quais essa falha pode ser considerada de alto risco são:

Relativamente simples de desenvolver exploits para tal;
Vulnerabilidade encontrada diretamente numa seção do Kernel do sistema, o que a torna presente em praticamente todas as distribuições do sistema operacional, como por exemplo Debian, Ubuntu, Suse e RedHat;
Possibilidade de estar presente também no Android, dado que ele também utiliza o Kernel do Linux.

O pesquisador de segurança Phil Oester foi o responsável pela descoberta dessa vulnerabilidade através de um exploit, usando uma captura de pacotes HTTP. Após a descoberta foi criado o site http://dirtycow.ninja/ que detalha a falha de maneira mais específica além de trazer mais informações.

Segundo o próprio site, o kernel do Linux foi corrigido, e grandes fornecedores como RedHat, Debian e Ubuntu já lançaram as correções para as suas respectivas distribuições Linux.

O que fazer?

Computadores pessoais e servidores: Para corrigir a vulnerabilidade Dirty Cow, basta apenas atualizar o sistema com o gerenciador de pacotes padrão como apt, yum e outros.

Equipamentos embarcados e celulares: a solução depende de atualizações disponibilizadas pelo próprio fabricante, que nem sempre abrange todos os equipamentos. Modelos mais antigos que podem continuar vulneráveis até o final de suas vidas úteis.

Referências
http://dirtycow.ninja/
https://github.com/dirtycow/dirtycow.github.io/blob/master/dirtyc0w.c
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5195
http://www.theregister.co.uk/2016/10/21/linux_privilege_escalation_hole/