Linux內核權限提升漏洞怎么修復

這篇文章主要介紹“Linux內核權限提升漏洞怎么修復”，在日常操作中，相信很多人在Linux內核權限提升漏洞怎么修復問題上存在疑惑，小編查閱了各式資料，整理出簡單好用的操作方法，希望對大家解答”Linux內核權限提升漏洞怎么修復”的疑惑有所幫助！接下來，請跟著小編一起來學習吧！

0x01 漏洞簡述

2020年09月23日，360CERT監測發現 openwall郵件組 發布了 linux-kernel 權限提升漏洞 的風險通告，該漏洞編號為 CVE-2020-14386 ，漏洞等級：高危，漏洞評分：7.8。

本地攻擊者通過向受影響的主機發送特制的請求內容，可以造成權限提升影響。

因為漏洞存在內核中，若成功利用該漏洞將直接獲得系統最高權限。

目前使用內核進行虛擬化的產品如 openshift/docker/kubernetes 在錯誤的配置策略下，同樣受到該漏洞影響，并可能造成虛擬環境逃逸

對此，360CERT建議廣大用戶及時將 linux-kernel 升級到最新版本。與此同時，請做好資產自查以及預防工作，以免遭受黑客攻擊。

0x02 風險等級

360CERT對該漏洞的評定結果如下

0x03 漏洞詳情

CVE-2020-14386: 權限提升漏洞

Linux發行版高于4.6的內核版本的源碼net/packet/af_packet.c在處理AF_PACKET時存在一處整數溢出漏洞。

該漏洞的觸發需要 本地低權限用戶/可執行文件 啟用 CAP_NET_RAW 功能

0x04 影響版本

- centos:centos: 8 

- debain:debain_linux: 9/10 

- ubuntu:ubuntu_linux: >18.04

0x05 修復建議

通用修補建議

1.可以應用如下 commit 的內核補丁 acf69c946233259ab4d64f8869d4037a198c7f06

CVE-2020-14386 linux-kernel-git-patch

https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=acf69c946233259ab4d64f8869d4037a198c7f06

2. 根據 RedHat 的建議關閉 CAP_NET_RAW 功能

對于單個可執行程序

# 查看程序的 cap 權限
getcap /bin/ping
/bin/ping cap_net_raw=ep
# 刪除 cap_net_raw 權限
setcap cap_net_raw-ep /bin/ping
# 檢查
getcap /bin/ping
/bin/ping =

同時 RedHat 指出在 Red Hat Enterprise Linux 8上，還可以通過利用非特權用戶名稱空間來獲得CAP_NET_RAW功能。

可以通過如下措施緩解

echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf
sysctl -p /etc/sysctl.d/userns.conf

0x06 產品側解決方案

360安全分析響應平臺

360安全大腦的安全分析響應平臺通過網絡流量檢測、多傳感器數據融合關聯分析手段，對該類漏洞的利用進行實時檢測和阻斷，請用戶聯系相關產品區域負責人或(shaoyulong##)獲取對應產品。

到此，關于“Linux內核權限提升漏洞怎么修復”的學習就結束了，希望能夠解決大家的疑惑。理論與實踐的搭配能更好的幫助大家學習，快去試試吧！若想繼續學習更多相關知識，請繼續關注億速云網站，小編會繼續努力為大家帶來更多實用的文章！