Lỗ hổng Linux lộ trước bản vá: cần phân biệt KSMBD với Samba

KSMBD là máy chủ SMB nằm trong nhân Linux, còn Samba truyền thống xử lý dịch vụ chia sẻ file trong không gian người dùng. Hai thành phần cùng phục vụ nhu cầu truy cập file qua mạng nhưng không phải cùng một phần mềm, vì vậy việc một máy có thư mục chia sẻ SMB chưa đủ để kết luận máy đó chịu ảnh hưởng của các lỗi KSMBD vừa được công bố.

Theo thông số được Phoronix dẫn từ báo cáo ZDI, ZDI-CAN-33549 được chấm CVSS 9.0 và liên quan đường xử lý SMB Direct, với nguyên nhân là integer underflow: phép trừ khiến giá trị số nguyên rơi ra ngoài miền biểu diễn dự kiến. Khi giá trị này được dùng làm độ dài hoặc kích thước, việc kiểm tra giới hạn bộ nhớ có thể không còn đúng, dẫn tới nguy cơ thực thi mã từ xa được nêu trong báo cáo.

Báo cáo ZDI-CAN-33774 cũng có điểm CVSS 9.0, nhưng nguyên nhân là race condition trong KSMBD. Đây là dạng lỗi phụ thuộc thứ tự hoặc thời điểm các tác vụ đồng thời truy cập dữ liệu; nguy cơ nằm ở cách xử lý trạng thái dùng chung, chứ không phải chỉ ở một phép tính kích thước như lỗi SMB Direct.

Với người quản trị NAS hoặc máy chủ chia sẻ file tại Việt Nam, việc cần làm trước là xác định thiết bị thực sự dùng KSMBD hay Samba. Không nên suy từ tên giao thức SMB ra phần mềm bên dưới, rồi kết luận toàn bộ hệ thống chia sẻ file đều có cùng mức rủi ro. Ngược lại, hệ thống không dùng KSMBD cũng không thể lấy đó làm bằng chứng rằng mình miễn nhiễm với các báo cáo khác trong đợt này.

Điểm đáng lo của đợt công bố này là khoảng trống giữa việc chi tiết kỹ thuật trở nên công khai và thời điểm người quản trị nhận được bản cập nhật có thể triển khai. Một thay đổi đang được thử nghiệm hay nằm trong nhánh phát triển chưa đồng nghĩa bản vá đã có trong gói kernel của bản phân phối đang chạy trên máy chủ.

Greg Kroah-Hartman đã phản hồi các báo cáo để chất vấn việc gửi lên danh sách công khai thay vì kênh bảo mật riêng. Dấu hiệu hiện có cho thấy đây có thể là sai sót trong quy trình gửi báo cáo, nhưng chưa nên coi nguyên nhân gửi nhầm là kết luận đã được ZDI xác nhận.

Khi các báo cáo xuất hiện công khai, một số bản vá vẫn đang được thử nghiệm hoặc chờ trong các nhánh phát triển. Riêng lỗi SMB Direct đã có bản sửa trong một nhánh Git dự kiến cho Linux 7.5; thông tin này không phải cam kết rằng người dùng phải chờ tới phiên bản đó, cũng chưa xác nhận lịch phát hành bản sửa cho từng bản phân phối.

Công khai báo cáo làm tăng cơ hội để bên tấn công phân tích lỗi, nhưng không tự chứng minh đã có khai thác thực tế. Người quản trị nên theo dõi thông báo bảo mật của bản phân phối hoặc hãng cung cấp thiết bị, đối chiếu đúng thành phần bị ảnh hưởng và hạn chế khả năng truy cập dịch vụ không cần thiết, thay vì xem một lần kiểm tra cập nhật chưa thấy gói mới là dấu hiệu an toàn.

Các báo cáo còn lại cần được đánh giá theo thành phần và điều kiện tiếp cận, bởi nâng quyền cục bộ khác với khả năng thực thi mã từ xa qua dịch vụ mạng. Lỗi skb_zerocopy trong mã mạng và lỗi ghi vượt giới hạn ở trình điều khiển đồ họa VMWGFX có nguy cơ nâng quyền cục bộ, còn báo cáo liên quan NVMET đề cập khả năng lộ thông tin.

ConnMan cũng xuất hiện trong chuỗi tin về đợt công bố này, nhưng đây là dịch vụ quản lý mạng chạy trong không gian người dùng, không thuộc nhân Linux. Gộp nó thành một lỗi kernel sẽ khiến việc kiểm kê sai ngay từ đầu: cập nhật kernel và cập nhật một dịch vụ riêng là những việc khác nhau, cần đối chiếu đúng gói phần mềm tương ứng.

Ưu tiên xử lý vì thế nên dựa trên phần mềm thực sự đang hoạt động và mức độ tiếp xúc của dịch vụ với mạng. Với hệ thống dùng KSMBD, mốc cần chờ là thông báo xác nhận bản sửa áp dụng cho phiên bản đang vận hành; một bản vá xuất hiện trong nhánh phát triển mới chỉ là bước đầu của quá trình đó.

Nguồn tham khảo: Phoronix; CyberSecurityNews.