云安全公司 Wiz 的研究人员在 Ubuntu 的 OverlayFS 模块中发现了两个易于利用的权限提升漏洞，影响了 40% 的 Ubuntu 云工作负载。

OverlayFS 是一种联合文件系统，允许一个文件系统覆盖另一个文件系统，从而无需更改基础文件系统即可修改文件。它允许用户将文件从底层复制到上层，并执行在 Linux 中不可能实现的操作和维护元数据。 

Wiz 研究人员在特定于 Ubuntu 的 OverlayFS 模块中发现了一个缺陷，该缺陷允许专门的可执行文件在受影响的计算机上将权限升级为“root”。可以欺骗 Ubuntu 内核将此文件复制到其他位置，从而为执行该文件的任何人提供类似 root 的权限。Wiz 发现了两个漏洞，该公司将其统称为 GameOver(lay)。

图片

该缺陷的操作方式与 2021 年发现的 Linux 内核漏洞 ( CVE-2021-3493 )类似。但是，Ubuntu 早在 2018 年就修改了自己的内核，使得后续对通用内核的缓解措施无法完全删除基本的漏洞。Ubuntu 的 OverlayFS 模块存在缺陷。

Wiz 联合创始人兼首席技术官 Ami Luttwak 解释道：“Ubuntu 多年前引入的 Linux 内核的细微变化产生了不可预见的影响。” “我们发现了由这些更改引起的两个权限提升漏洞，谁知道还有多少其他漏洞仍然潜伏在 Linux 内核意大利面条的阴影中？”

Wiz 研究人员在 Ubuntu OverlayFS 模块中发现了两个漏洞： CVE-2023-2640和CVE-2023-32629（统称为“GameOver(lay)”）。

启用 CVE-2023-2640 是因为 Ubuntu OverlayFS 模块在复制文件之前不会转换文件安全功能。因此，非特权用户可以创建新的目录结构并进入具有类似管理功能的新用户命名空间。然后，他们可以挂载和 OverlayFS 挂载，最终创建一个具有适用于 init 用户命名空间的功能的文件，并有效地将用户的权限提升到 root。 

研究人员表示：“成功利用 CVE-2023-2640 会导致在‘upperdir’目录中生成一个‘有能力’的文件，该文件向执行该文件的任何人授予与 root 相当的能力。”

CVE-2023-32629 与 CVE-2023-2640 类似，但影响的内核版本略有不同，并且利用结果来自不同的代码流。结果是一样的：“该文件具有适用于 init 用户命名空间的功能，”研究人员说，“这有效地将用户的权限升级为 root。”

这些并不是 OverlayFS 中发现的第一个漏洞。早期的示例包括 CVE-2016-1576、CVE-2021-3847、CVE-2021-3493 和 CVE-2023-0386。Wiz 研究人员指出，CVE-2021-3493 与 GameOver(lay) 漏洞之一非常相似，“其公开可用的 PoC 目前可用于按原样利用该漏洞。”

Ubuntu 于 2023 年 7 月 24 日修复了该漏洞，并敦促用户更新内核。