การปรับปรุงการใช้ประโยชน์จาก Cow Dirty บน CentOS

• "Dirty Cow (CVE-2016-5195)" คืออะไร
• ระบบที่ได้รับผลกระทบ
• ทดสอบและการแพตช์
• ข้อสรุป

"Dirty Cow ( CVE-2016-5195 )" คืออะไร

ช่องโหว่ "Dirty Cow" ถูกโจมตีผ่านวิธีการที่ Linux ประมวลผลโค้ด อนุญาตให้ผู้ใช้ที่ไม่มีสิทธิพิเศษได้รับสิทธิ์รูต สามารถใช้กับเซิร์ฟเวอร์ใดก็ได้ที่มีเคอร์เนลที่มีช่องโหว่ ในขณะที่เขียนมีการปรับปรุงระบบปฏิบัติการบางอย่าง แต่คนอื่น ๆ ยังคงได้รับผลกระทบ โดยทั่วไปช่องโหว่นี้จะใช้กับบัญชีโฮสต์ที่ใช้ร่วมกันซึ่งมีการเข้าถึงเชลล์ ดังนั้นเพื่อป้องกันความเสียหายต่อผู้ใช้รายอื่นการอัพเดตจึงเป็นสิ่งสำคัญ

ระบบที่ได้รับผลกระทบ

ระบบ CentOS 5/6/7 ใดก็ได้

ทดสอบและการแพตช์

RHEL มีเครื่องมือสำหรับทดสอบเซิร์ฟเวอร์ของคุณ เพียงดาวน์โหลดสิ่งต่อไปนี้ด้วย:

wget https://access.redhat.com/sites/default/files/rh-cve-2016-5195_1.sh

bash rh-cve-2016-5195_1.sh

หากเซิร์ฟเวอร์ของคุณมีช่องโหว่คุณจะได้รับแจ้งจากสคริปต์:

Your kernel is <version here> which IS vulnerable.
Red Hat recommends that you update your kernel. Alternatively, you can apply partial
mitigation described at https://access.redhat.com/security/vulnerabilities/2706661 .

หากคุณมีช่องโหว่ให้ทำตามขั้นตอนต่อไป มิฉะนั้นไม่จำเป็นต้องดำเนินการใด ๆ

การปรับปรุงค่อนข้างง่าย:

yum update -y
reboot

ตรวจสอบว่าเซิร์ฟเวอร์ของคุณได้รับการแก้ไขโดยเรียกใช้rh-cveสคริปต์อีกครั้ง หากเซิร์ฟเวอร์ของคุณยังคงได้รับผลกระทบเราจะต้องแก้ไขด้วยตนเอง

คู่มือการแก้ไข

เราจะต้องติดตั้ง Systemtap เพื่อใช้การอัพเดทเคอร์เนล:

yum install systemtap -y

ตอนนี้สร้างไฟล์ที่เรียกว่าnew.stp

วางต่อไปนี้:

probe     kernel.function("mem_write").ca ll ? {
        $count = 0
}

probe syscall.ptrace {  //   includes compat ptrace as well
        $request = 0xfff
}

probe begin {
        printk(0, "CVE-2016-5195   mitigation loaded")
}

probe end {
        printk(0, "CVE-2016-5195    mitigation unloaded")
}

บันทึกจากนั้นออก

รันคำสั่งต่อไปนี้:

stap -g new.stp

ตอนนี้รีบูตเซิร์ฟเวอร์ของคุณ:

shutdown -r now

ข้อสรุป

ขอแสดงความยินดี คุณอัปเดตเซิร์ฟเวอร์เรียบร้อยแล้ว