[Freifunk-Bonn] CVE-2016-10229: Z.T. Unsichere KBU-Firmwares

[yanosz]

Hallo folks,

mit dem Android Bugfix-Release zum April 2017 wurde eine
"Remote-Code-Execution" Schwachstelle (CVE-2016-10229) im Linux-Kernel
geschlossen.

Damit können Angreifer beliebigen Code auf betroffenen Systemen
ausführen und sie vollständig übernehmen. Hierzu muss ein Angreifer ein
UDP-Paket an einen Service senden, der die C-Flag "MSG_PEEK" verwendet.

dnsmasq und fastd verwenden MSG_PEEK [1,2], so dass alle
KBU-Freifunk-Firmwares prinzipiell betroffen sind. fastd ist nicht
exploitbar, da der zugh. call nicht auf einem udp-Socket stattfindet.

Der Bug ist in wohl folgenden Linux-Versionen geschlossen:
v4.5-rc1	197c949e7798fbf28cfadc69d9ca0c2abbf93191
v4.4.21		dfe2042d96065f044a794f684e9f7976a4ca6e24
v3.18.45	69335972b1c1c9bd7597fc6080b6eb1bd3fbf774
v3.10.103	98f57e42cab062608cf3dce2b8eecbb2a0780ac4

Damit:
- *Debian Stable* basierte *Gateways / Supernodes* sind nicht betroffen
[3], sofern sie aktuell sind.
- *Firmware 1.4* verwendet *3.10.49* und ist damit *betroffen*
- Die Files auf images.ffkbu.de verwenden 3.18.44 und sind damit *betroffen*
- *Lede 17.01* verwendet kernel *4.4.50* ist ist damit nicht betroffen
- *Gluon 2016.2.5* verwendet kernel *3.18.44* und ist damit *betroffen*
- *Gluon 2016.2.x* hat seid 8h einen Patch, der die Lücke schließt. [4]
- *VPN-Offloader / Supernodes / etc.* sind *betroffen* und *mglw.
angreifbar* sofern sie OpenWRT, Gluon oder Lede verwende, IP-Adressen
per DHCP vergeben und dazu dnsmasq benutzen

Falls ihr UDP-Services wie dnsmasq (DHCP) betreibt wäre meine Empfehlung
dass Ihr Eure Nodes offline nehmt und lede 17.01 oder Gluon 2016.2.x
installiert.

Gruß, yanosz


[1] https://git.universe-factory.net/fastd/tree/src/async.c#n109
[2]
http://thekelleys.org.uk/gitweb/?p=dnsmasq.git;a=blob;f=contrib/lease-tools/dhcp_release.c;h=201fcd3acf2d03c51d7b01bc77ca91097cc67187;hb=HEAD#l118
http://thekelleys.org.uk/gitweb/?p=dnsmasq.git;a=blob;f=src/dhcp-common.c;h=ecc752b435b740ba3380515fe0ccf2af13575fd8;hb=HEAD#l46
http://thekelleys.org.uk/gitweb/?p=dnsmasq.git;a=blob;f=src/netlink.c;h=be9701c64e004dca93f1e6c922c94443e21e4cb6;hb=HEAD#l102
[3] https://security-tracker.debian.org/tracker/CVE-2016-10229
[4] https://github.com/freifunk-gluon/gluon/pull/1097
-- 
For those of you without hope, we have rooms with color TV,
cable and air conditioning