Nouvelle technique d’attaque SLUBStick contourne les défenses du noyau Linux

Des chercheurs de l’Université de Technologie de Graz en Autriche ont découvert une nouvelle attaque de type cross-cache (PDF) qui peut contourner les défenses noyau modernes et offrir un accès en lecture et en écriture arbitraire. Les exploits impliqués affectent les versions du noyau Linux 5.19 et 6.2. L’équipe a baptisé la technique d’attaque SLUBStick. Ce vecteur d’attaque exploite la réutilisation de la mémoire de l’allocateur du noyau de manière novatrice, la rendant plus fiable que la plupart des autres attaques cross-cache.

SLUBStick : une menace malgré les défenses du noyau Linux

Alors que la plupart des attaques cross-cache ont un taux de réussite d’environ 40%, les chercheurs ont poussé SLUBStick à un taux de réussite de 99% pour les caches génériques fréquemment utilisés. Malgré les protections de sécurité modernes disponibles pour le noyau Linux, SLUBStick est capable de contourner la Prévention de l’Exécution en Mode Superviseur (SMEP), la Prévention de l’Accès en Mode Superviseur (SMAP) et la Randomisation de l’Espace d’Adresses du Noyau (KASLR).

Exploitation et dangers de SLUBStick

Les chercheurs ont constaté que même si les défenses actuelles du noyau promettent de réduire la menace de SLUBStick, aucune ne fournit actuellement une protection complète. Par conséquent, le danger d’exploitation via SLUBStick reste réel, même avec les défenses du noyau en place. L’attaque peut permettre aux attaquants d’obtenir des privilèges élevés, de s’échapper des environnements sandbox dans les machines virtuelles et d’obtenir un accès root au système hôte.

Conditions requises pour SLUBStick et tests effectués

Pour que SLUBStick fonctionne, les attaquants ont besoin d’un accès local au système Linux attaqué. L’attaque nécessite également la présence d’une vulnérabilité de la tas dans le noyau Linux, qui a été trouvée à la fois dans le noyau Linux 5.19 et le noyau 6.2. Les chercheurs ont analysé de manière systématique l’attaque sur les deux versions du noyau Linux, constatant que SLUBStick était efficace pour exécuter des attaques sur les caches génériques de kmalloc-08 à kmalloc-4096.

SLUBStick a été testé sur des machines virtuelles x86 et aarch64, et il est également efficace sur les processeurs Intel, AMD et Arm. L’équipe note que la technique d’attaque offerte par SLUBStick “améliore considérablement la fiabilité des attaques cross-cache à partir de caches génériques et les rend praticables pour l’exploitation”. En d’autres termes, SLUBStick peut rendre d’autres attaques plus réussies et efficaces.

Source : www.tomshardware.com