Corrigindo a exploração de vaca suja no CentOS

• O que é "Vaca suja (CVE-2016-5195)"?
• Sistemas afetados
• Teste e aplicação de patches
• Conclusão

O que é "Vaca suja ( CVE-2016-5195 )"?

A vulnerabilidade "Dirty Cow" é explorada através da maneira como o Linux processa o código. Ele permite que um usuário sem privilégios obtenha privilégios de root. Isso pode ser usado em qualquer servidor com um kernel vulnerável. No momento da redação deste documento, houve atualizações em determinados sistemas operacionais, mas outros permanecem afetados. A vulnerabilidade é normalmente usada em contas de hospedagem compartilhada com acesso ao shell. Como tal, para evitar danos a outros usuários, a atualização é crucial.

Sistemas afetados

Qualquer sistema CentOS 5/6/7.

Teste e aplicação de patches

O RHEL possui um utilitário disponível para testar seu servidor. Basta baixar o seguinte com:

wget https://access.redhat.com/sites/default/files/rh-cve-2016-5195_1.sh

bash rh-cve-2016-5195_1.sh

Se o seu servidor estiver vulnerável, você será notificado pelo script:

Your kernel is <version here> which IS vulnerable.
Red Hat recommends that you update your kernel. Alternatively, you can apply partial
mitigation described at https://access.redhat.com/security/vulnerabilities/2706661 .

Se você é realmente vulnerável, prossiga para a próxima etapa. Caso contrário, nenhuma ação será necessária.

O patch é bastante simples:

yum update -y
reboot

Verifique se o seu servidor foi corrigido executando o rh-cvescript novamente. Se o seu servidor ainda for afetado, devemos corrigi-lo manualmente.

Patch manual

Precisamos instalar o Systemtap para aplicar a atualização do kernel:

yum install systemtap -y

Agora, crie um arquivo chamado new.stp.

Cole a seguinte:

probe     kernel.function("mem_write").ca ll ? {
        $count = 0
}

probe syscall.ptrace {  //   includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195   mitigation loaded")
}

probe end {
        printk(0, "CVE-2016-5195    mitigation unloaded")
}

Salve e saia.

Execute o seguinte comando:

stap -g new.stp

Agora, reinicie o servidor:

shutdown -r now

Conclusão

Parabéns. Você atualizou seu servidor com sucesso.