Dm-verity is used for extending root-of-trust to root filesystems. LoadPin builds on this property to restrict module/firmware loads to just the trusted root filesystem. Device-mapper table reloads currently allow users with root privileges to switch out the target with an equivalent dm-linear target and bypass verification till reboot. This allows root to bypass LoadPin and can be used to load untrusted and unverified kernel modules and firmware, which implies arbitrary kernel execution and persistence for peripherals that do not verify firmware updates. We recommend upgrading past commit 4caae58406f8ceb741603eee460d79bacca9b1b5
Dm-verity es usado para extender el root confiable a los sistemas de archivos root. LoadPin es basado en esta propiedad para restringir las cargas de módulos/firmware sólo al sistema de archivos root confiables. Las recargas de la tabla del mapeador de dispositivos actualmente permiten a usuarios privilegiados de root cambiar el objetivo por un objetivo dm-lineal equivalente y evitar la verificación hasta el reinicio. Esto permite a root omitir LoadPin y puede ser usado para cargar módulos del kernel y firmware no confiables y no verificados, lo que implica una ejecución arbitraria del kernel y la persistencia de los periféricos que no verifican las actualizaciones del firmware. Es recomendado actualizar el commit 4caae58406f8ceb741603eee460d79bacca9b1b5
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
| Attack Vector | LOCAL |
|---|---|
| Attack Complexity | LOW |
| Privileges Required | HIGH |
| User Interaction | NONE |
| Scope | UNCHANGED |
| Confidentiality Impact | HIGH |
| Integrity Impact | HIGH |
| Availability Impact | HIGH |
| Source | Type | Description |
|---|---|---|
| [email protected] | Secondary |
en
CWE-302
|
| [email protected] | Primary |
en
CWE-287
|
| Vendor | Product | Version | Update | Type |
|---|---|---|---|---|
| linux | linux_kernel | * | <built-in method update of dict object at 0x7fd36043bdc0> | Operating System |
| Vulnerable | CPE |
|---|---|
| Yes | cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:* |