Oprava špinavej kravy Exploit na CentOS

Čo je to „špinavá krava ( CVE-2016-5195 )“?

Zraniteľnosť „Dirty Cow“ sa využíva prostredníctvom spôsobu, akým Linux spracováva kód. Umožňuje neprivilegovanému používateľovi získať oprávnenia root. Toto je možné použiť na akomkoľvek serveri so zraniteľným jadrom. V čase písania tohto článku došlo k aktualizáciám niektorých operačných systémov, ale iné zostávajú ovplyvnené. Zraniteľnosť sa zvyčajne používa na účtoch zdieľaného hosťovania s prístupom cez shell. Aktualizácia je preto kľúčová, aby sa predišlo poškodeniu ostatných používateľov.

Ovplyvnené systémy

Akýkoľvek systém CentOS 5/6/7.

Test a oprava

RHEL má k dispozícii nástroj na testovanie vášho servera. Stačí si stiahnuť nasledovné pomocou:

wget https://access.redhat.com/sites/default/files/rh-cve-2016-5195_1.sh

bash rh-cve-2016-5195_1.sh

Ak je váš server zraniteľný, skript vás upozorní:

Your kernel is <version here> which IS vulnerable.
Red Hat recommends that you update your kernel. Alternatively, you can apply partial
mitigation described at https://access.redhat.com/security/vulnerabilities/2706661 .

Ak ste skutočne zraniteľní, prejdite na ďalší krok. V opačnom prípade sa nevyžaduje žiadna akcia.

Patching je celkom jednoduchý:

yum update -y
reboot

rh-cveOpätovným spustením skriptu skontrolujte, či bol váš server opravený . Ak je váš server stále ovplyvnený, musíme ho opraviť manuálne.

Manuálna záplata

Ak chcete použiť aktualizáciu jadra, musíme nainštalovať Systemtap:

yum install systemtap -y

Teraz vytvorte súbor s názvom new.stp.

Prilepte nasledovné:

probe     kernel.function("mem_write").ca ll ? {
        $count = 0
}

probe syscall.ptrace {  //   includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195   mitigation loaded")
}

probe end {
        printk(0, "CVE-2016-5195    mitigation unloaded")
}

Uložiť a potom ukončiť.

Spustite nasledujúci príkaz:

stap -g new.stp

Teraz reštartujte server:

shutdown -r now

Záver

gratulujem. Úspešne ste aktualizovali svoj server.