Planet Teubreux

Linux security in 2011, or LKML’s yearly digest

Disclaimer: I have nothing to do with the following, all credits go to their respective authors. I'm just publishing my 2011's bookmarks about Linux kernel security with a one line summary based on my (possibly wrong) understanding
Do not hesitate to correct me (gently if possible :)) in comments or mail.

• False boundaries of (certain) capabilities: Brad Spengler describes 19 capabilities (of 35) which can be used to regain full privileges. Coincidentally, Vasily Kulikov discovered a “funny” behavior of CAP_NET_ADMIN which permit to load any modules available in /lib/modules/ instead of limiting to network related modules only, AFAIK, this vulnerability was closed but the fix got reverted some weeks later because of some userspace breakages.
• PaX team introduced a new range of stuff using the new GCC plugin infrastructure. At compile-time, pro-active code is automatically added to potentially dangerous paths:
  • constify_plugin.c enforces read-onlintroduces new constraints (__do_const and __no_const) enforcing read-only permissions at compilation-time and run-time. PaX then makes usage of theses new constraints by patching most of the “ops structures”. The plugin also automatically protects structures where all members are function pointers, this patching on-the-fly is required because patching directly the source kernel would never be integrated upstream.
  • stackleak_plugin.c adds instrumentation code before alloca() calls. This code checks that stack-frame size does not overlap with kernel task size. It circumvents techniques described in "Large memory management vulnerabilities" by Gaël Delalleau (2005) and "The stack is back" by Jon Oberheide (2012).
  • GCC 4.6 introduced named address spaces. It was initially specified for embedded processors but PaX team uses this feature to represent user and kernel space. checker_plugin.c thus introduces __user, __kernel and __iomem namespaces to spot non-legit flows between address spaces.
  • kallocstat_plugin.c produces statistics about the size given in parameter to various memory allocation functions
  • kernexec_plugin.c enforces non-executable pages like the KERNEXEC PaX feature, but without huge performance impact on AMD64.
• pagexec also managed to compile Linux Kernel with clang by patching both Linux and clang. Now that gcc integrated plugins, it is less interesting  but llvm was the solely compiler with easy access to its internal structure, allowing external applications to perform static analysis...
• A user space interface to kernel Crypto-API was submitted to kernel developers, an interesting use-case was to offer a way to deport key material between processes. Imagine process A in possession of private keys and another one, B, actually performing encryption / decryption stuff part. The idea was to initialize a “crypto socket” in A and pass this file descriptor to B (via a classic ancillary message).
• Pseudo-files in /proc/<pid>/ have a different security model than “normal” files because of its ephemeral nature: checks need to happen during each system call and not at open() time because permissions can change at anytime. Halfdog discovered (and Kees Cook reported it to LKML) that not all files were protected accordingly. If a program opens /proc/self/auxv and keeps this file descriptor opened. Then, even after a execve() of a setuid binary, the file descriptor would still be available, leaking information! Fixing this vulnerability has been a long road and a pretty solution came up with the introduction of revoke(), a new syscall invalidating file descriptors. Unfortunately, the thread didn’t survive and ideas were lost... (by the way, it is funny that this kind of problem resuscitated in CVE-2012-0056 lately...)
• As one goes along, execve() became almost magical, it had to support Set-User-Id, capabilities, and file capabilities. Each feature added complexity and different legacy behaviors to maintain. Instead of dropping these POSIX features, OpenWall 3.0 took a different approach by removing Suid binaries from its base install, thus preventing execve’s voodoo. This change is just a line in Owl’s changelog but is in fact a major achievement: it required them to re-architecture important softwares like crontab or user management tools.
  /bin/ping is setuid-root because it opens a raw socket and injects its packet on the wire directly. A new socket type, PROT_ICMP, was developed by Openwall team, it makes possible to send ICMP Echo messages without special privileges (caller’s GID has to be included in a range stored in a sysctl key). It is interesting to note that only replies (based on ICMP identifier field) are sent to userspace, not the whole ICMP traffic like in Mac OS X.
• TCP Initial Sequence number is now a 32-bits random number using MD5. ISN was previously the concatenation of 24 random bits (MD4 of TCP end points with a secret rekeyed every 5 minutes) and an 8 bits counter (number of times secret key was regenerated)
• Vasilily tried to push upstream additional checks for copy_{to,from}_user() (by checking if requested size fits boundaries fixed at compile time), this patch was a cut down version of PAX_USERCOPY but was NACKed by Linus asking him for more “balance and sanity”. However, he didn’t reject the idea itself, saying that a cleaner version might be accepted...

Processor facility for making syscall

mov $1, %eax   ;; __NR_exit = 1
mov $42, %ebx  ;; status = 42
sysenter       ;; perform the syscall!

movl $1, %eax   ;; __NR_exit = 1
movl $42, %ebx   ;; status   = 42
call *%gs:0x10  ;; Here, the offset (0x10) is platform-dependent
                ;; The memory page %gs:0x10 is located in the VDSO

Virtual Dynamic Shared Object

$ cat /proc/self/maps
08048000-08051000 r-xp 00000000 fd:01 14450888   /bin/cat
08051000-08052000 rw-p 00009000 fd:01 14450888   /bin/cat
083d7000-083f8000 rw-p 00000000 00:00 0          [heap]
b7475000-b7633000 r--p 00000000 fd:01 592041     /usr/lib/locale/locale-archive
b7633000-b7634000 rw-p 00000000 00:00 0 
b7634000-b7775000 r-xp 00000000 fd:01 5769153    /lib/i686/cmov/libc-2.10.2.so
b7775000-b7777000 r--p 00141000 fd:01 5769153    /lib/i686/cmov/libc-2.10.2.so
b7777000-b7778000 rw-p 00143000 fd:01 5769153    /lib/i686/cmov/libc-2.10.2.so
b7778000-b777b000 rw-p 00000000 00:00 0 
b7794000-b7796000 rw-p 00000000 00:00 0 
b7796000-b7797000 r-xp 00000000 00:00 0          [vdso]
b7797000-b77b3000 r-xp 00000000 fd:01 2818106    /lib/ld-2.10.2.so
b77b3000-b77b4000 r--p 0001b000 fd:01 2818106    /lib/ld-2.10.2.so
b77b4000-b77b5000 rw-p 0001c000 fd:01 2818106    /lib/ld-2.10.2.so
bfafd000-bfb12000 rw-p 00000000 00:00 0          [stack]

int __init sysenter_setup(void)
{
    void *syscall_page = (void *)get_zeroed_page(GFP_ATOMIC);
    const void *vsyscall;
    size_t vsyscall_len;

    vdso32_pages[0] = virt_to_page(syscall_page);

#ifdef CONFIG_X86_32
    gate_vma_init();
#endif

    if (vdso32_syscall()) {
        vsyscall = &vdso32_syscall_start;
        vsyscall_len = &vdso32_syscall_end - &vdso32_syscall_start;
    } else if (vdso32_sysenter()){
        vsyscall = &vdso32_sysenter_start;
        vsyscall_len = &vdso32_sysenter_end - &vdso32_sysenter_start;
    } else {
        vsyscall = &vdso32_int80_start;
        vsyscall_len = &vdso32_int80_end - &vdso32_int80_start;
    }

    memcpy(syscall_page, vsyscall, vsyscall_len);
    relocate_vdso(syscall_page);

    return 0;
}

  __kernel_vsyscall:
  .LSTART_vsyscall:
      push %ecx
  .Lpush_ecx:
      push %edx
  .Lpush_edx:
      push %ebp
  .Lenter_kernel:
      movl %esp,%ebp
      sysenter
    /* 7: align return point with nop's to make disassembly easier */
    .space 7,0x90

    /* 14: System call restart point is here! (SYSENTER_RETURN-2) */
    jmp .Lenter_kernel
    /* 16: System call normal return point is here! */
VDSO32_SYSENTER_RETURN: /* Symbol used by sysenter.c via vdso32-syms.h */
    pop %ebp
.Lpop_ebp:
    pop %edx
.Lpop_edx:
    pop %ecx
.Lpop_ecx:
    ret

L'ancien local du club a été définitivement rendu à la MaisEl. Nous avons, ce samedi, rangé pour la dernière fois notre grand local du I6. Après avoir découvert de nombreuses reliques du passé, nous avons vidé tous ce que nous ne pouvions pas garder dans les grandes bennes de la déchetterie.

Quelques reliques :

Voici les dernières traces du local :

Après quelques péripéties en début d'année, nous avons enfin récupéré un nouveau local. Il est plus petit que l'ancien mais devrait suffire pour attendre l'arrivée du FabLab (laboratoire de fabrication moderne).

Ainsi, les activités pratiques du club peuvent serieusement commencer, avec une nouvelle équipe très motivée pour (enfin ?) gagner la coupe de France de robotique 2012 !

Le règlement a mis un peu de temps à tomber cette année mais le voilà enfin.

Nous serons des pirates envahissant une île afin de récupérer le plus de pièces et de lingots d'or possible et les déposer dans la cale de notre bateau. Cette année, particularité, nous avons le droit d'utiliser un robot secondaire afin d'accomplir cette tâche. Nous pouvons aussi gagner des points en découvrant une carte cachée par un voile et en lançant des bouteilles à la mer.

Pour plus d'informations, le règlement est présent ici : http://www.planete-sciences.org/robot/index.php?section=pages&pageid=108

1. Utiliser Firebug et rentrer la variable à la main lors de chaque utilisation (pas très pratique)
2. Installer GreaseMonkey et y activer ce mini-script

Comme chaque année, nous avons participé à la Fête de la science, qui s'est déroulé dans la ville de Brest à l'UBO (Université de Bretagne Occidentale).

Nous avons présenté plusieurs robots plus ou moins complexe. Tout d'abord, le fameux, le célèbre, le brave Krabi ! Fidèlement à lui même, il a rendu l'âme au bout d'une journée. Ensuite, un petit nouveau : le robot conçu par un premier année, Victor Dubois. Il s'agit d'un magnifique spécimen attrapant les boîtes de springles à votre place. Comme d'habitude, les hémissons étaient présents à l'appel. Ce sont de petits robots pré-programmables, très simple à faire fonctionner pour les débutants en robotique, que nous prête l'école. Enfin, le robot Lego, qui a beaucoup passionné les enfants.

Les photos de nos vedettes :

Voila Krabi 2011. C'était sa dernière apparition en publique, il reposa maintenant dans les abîmes de notre local.

Le robot Lego. Il fera un adversaire de taille pour notre futur robot !

Les hemissons, qui s'amusent à gribouiller sur un morceau de feuille, à l'aide d'un feutre. Classique et efficace, cela amusait beaucoup les enfants.

Le nouveau robot ! Il attrape une boite grâce à ses pinces.

Quelques photos de l'événement

Gaëtan Fayon, un premier année qui a intégré le club robotique, présente le stand à une personne qui semble intéressée.

Samuel Barraud, encore un premier année, en train de présenter les Hemissons.

Victor Dubois, créateur du robot_qui_attrape_les_boites_de_pringles (faudrait vraiment lui donner un nom !), très sérieusement en train de travailler. Non, en faite, il regarde le Télécomusical :).

Pour conclure, cette fête de la science s'est bien passé, nous avons pu expliquer notre passion à des personnes en s'adonnant à un exercice qui n'est pas si simple en pratique : la vulgarisation de nos connaissances. De plus, Le stand a rencontré un certain succès, surtout auprès d'un publique relativement jeune.

1. After ELF header, we shift "ELF program header" a few pages away
2. In this new section, we inject a "loader routine" (hooked.s) and embedded code to be executed at runtime
3. After having been saved in our section, ld's ELF entry point is overwritten to jump directly on our routine. This routine extracts from auxiliary vectors the target ELF entry point and overwrites it with a pointer to our embedded code (func() in the payload).
4. Original ld's entry point is called and ld works as usual
5. Eventually, it calls entry point set in auxiliary vector (which was replaced by a pointer to our payload)
6. Embdded code runs
7. It returns to our routine which finally jumps on original target entry point

ld-shatner voodo

$ make clean all
$ cp /lib/ld-linux.so.2 /bin/ls .
$ ./ld-shatner ld-linux.so.2 obj.elf
$ sudo cp ld-hook.so /lib/
$ ./interpatch ls
$ ./ls 
ld-hook <---------------------- output of obj.elf
[...]

Bmo (Brest métropole océane) s’engage à lutter contre le changement climatique. Elle a déjà entrepris des actions via, par exemple, la prochaine mise en service du tramway ou encore la promotion des Vélocibus. S

urtout, Bmo élabore son Plan Climat Energie Territorial (cf http://www.brest.fr/cadre-de-vie-deplacements/plan-climat-de-brest-metropole-oceane.html). Il s'agit d'un programme d’actions déclinées à l’échelle de l’agglomération et qui se fixe, à l’horizon 2020, des objectifs de réduction de consommation d’énergie (- 20%), de réduction des émissions de gaz à effet de serre (- 20%) et de développement des énergies renouvelables dans sa consommation globale (23%). Ces objectifs de réduction des émissions de gaz à effet de serre sont fixés par l’Europe et le protocole de Kyoto de 1997. D’ici 2050, la France devra diviser par 4 ces émissions.

Pour que ce Plan Climat soit efficace, Bmo fait appel à ses habitants, c'est-à-dire nous, pour recueillir des avis, des idées sur la manière de réduire les émissions liées aux transports, au logement et, globalement, à notre mode de vie.

Ainsi, vous êtes conviés à une conférence-débat :

le mercredi 9 novembre à 20h30 au petit amphi de Télécom bretagne.

La conférence (d'une durée de 30 minutes maximum) permettra de vous présenter en détails les enjeux du changement climatique, la situation climatique du territoire brestois et les clés de ce qui constitue un plan climat. Présentée par M. Bruno Rebelle (ancien n°2 de Greenpeace International), cette conférence sera suivie d'un débat avec des représentants de BMO et vous donnera notamment l'occasion de proposer des actions permettant de diminuer les émissions de gaz à effet de serre.

Vous pouvez d'ores et déjà poster des messages ou des interrogations sur le forum internet dédié à ce sujet (http://www.brest.fr/forum-du-plan-climat.html).

La plupart des nouveaux modèles de télé ont une interface Ethernet pour les relier au réseau informatique. J’ai remarqué que cette interface est active uniquement lorsque la télévision est allumée. Du coup, il devient possible de connaitre l’état de celle-ci et d’exécuter des scénarios en fonction.
Pour cela, je me base sur un simple script Bash qui lance un ping toutes les 10 secondes et en fonction de la réponse, informe HomeSeer de l’état de la TV.

Script Bash :

#!/bin/bash
# Simple SHELL script for ping monitoring with linux
# http://clement.storck.me
 
# Host to monitor (TV_Clem)
HOST="192.168.10.36"
 
# Status host
HOST_STATUS="down"
 
# nb ping request
COUNT=3
 
while :
do
  count=$(ping -c $COUNT $HOST | grep 'received' | awk -F',' '{ print $2 }' | awk '{ print $1 }')
  if [ $count -eq 0 ]; then
    # Host is down
    echo "Host : $HOST is down (ping failed) at $(date)"
    if [ "$HOST_STATUS" == up ]; then
      HOST_STATUS="down"
      curl -d "scriptcmd=hs.ExecX10%20%22Y9%22%2c%20%22off%22%2c%200%2c%200&runscript=Execute%20Command&ref_page=ctrl" http://192.168.10.10
    fi
  else
    # Host is up
    echo "Host : $HOST is up (ping OK) at $(date)"
    if [ "$HOST_STATUS" == "down" ]; then
      HOST_STATUS="up"
      curl -d "scriptcmd=hs.ExecX10%20%22Y9%22%2c%20%22on%22%2c%200%2c%200&runscript=Execute%20Command&ref_page=ctrl" http://192.168.10.10
    fi
  fi
  echo "$HOST_STATUS"
  sleep 8
done

Création d’un daemon pour lancer le script en arrière-plan :

cp /home/ping_TV_Clem /usr/sbin/ping_TV_Clem
cp /etc/init.d/skeleton /etc/init.d/ping_TV_Clem
nano /etc/init.d/ping_TV_Clem

Modifiez /etc/init.d/ping_TV_Clem comme ceci :

PATH=/usr/sbin:/usr/bin:/sbin:/bin
DESC="Supervision TV"
NAME=ping_TV_Clem
DAEMON=/usr/sbin/$NAME
DAEMON_ARGS=""
PIDFILE=/var/run/$NAME.pid
SCRIPTNAME=/etc/init.d/$NAME

puis :

update-rc.d ping_TV_Clem defaults

chmod +x /etc/init.d/ping_TV_Clem
etc/init.d/ping_TV_Clem start

Enfin, un petit « ps aux | grep ping* » pour vérifier que le script est bien lancé.

Ainsi, lorsque j’allume la télé, HomeSeer en est informé dans les 10 secondes. Puis, avec un Event, s’il fait nuit et que la télé est allumée (et inversement), alors les lumières d’ambiance s’allument automatiquement.
<iframe allowfullscreen="allowfullscreen" frameborder="0" height="315" src="http://www.youtube.com/embed/mCzY8gDX2eM" width="560"></iframe>

XSS vulnerabilities are common on websites. Indeed, the POST or GET parameters are not properly checked. This vulnerability is known to all and there are frameworks for automating the vulnerability of Internet sites.

However, developers do not think necessarily verify all data (not just POST & GET parameters). The following is obvious with the use of another vector : DNS.

Many [...]