GRO Frag: нова уязвимост в мрежовия стек на Linux позволява получение на root

На открито стана достъпен експлоит за GRO Frag — локална уязвимост за повишаване на привилегиите в ядрото на Linux, свързана с обработката на GRO и zero-copy skb в мрежовия стек. Точната дата на първоначалното откритие в публичните материали не е посочена. По откритите следи могат да се фиксират две дати: корекцията е била обсъждана в пощенския списък netdev 20 май 2026 година, където тази уязвимост вече е била описана като годна за презаписване на page cache, а публичният PoC е бил публикуван на GitHub Gist 22 май 2026 година.

Като временно решение до инсталирането на коригирано ядро може да се ограничи векторът на атака чрез sysctl: kernel.io_uring_disabled=1. Този режим забранява създаването на нови инстанции на io_uring от непривилегировани процеси, освен ако не са включени в разрешената група io_uring_group; при стойност -1 достъпът остава само за процеси с CAP_SYS_ADMIN. Това е именно митигация, а не пълноценно решение на уязвимостта.

Проблемът се крие в функцията skb_gro_receive(): при обединяването на пакети GRO ядрото е можело да прехвърля фрагменти от zero-copy skb в друг skb без коректна проверка на състоянието на zero-copy и знака SKBFL_MANAGED_FRAG_REFS. В резултат на това страниците на паметта, за които оригиналният skb не е държал отделни ссылки, могат да бъдат освобождавани некоректно, което води до use-after-free. В патча е посочено, че такава ситуация може да доведе до UAF и че намереният вариант е годен за презаписване на page cache.

Публикуваният PoC описва уязвимостта като LPE през GRO managed-frag UAF с използване на io_uring SEND_ZC и виртуален мрежов интерфейс veth. В коментара на кода е посочено, че са засегнати ядрата Linux 6.0+, експлоатацията е възможна от непривилегирован потребител, но изисква наличен io_uring; за корекция е споменат комит 4db79a322db8 с промяната "net: gro: don’t merge zcopy skbs".

По последствията, GRO Frag попада в същия опасен клас грешки, като Copy Fail и Dirty Frag: атакуващият с локален непривилегирован достъп успява да постигне изменение на данните в page cache, тоест в паметта, без задължителна модификация на файла на диска. Подобни грешки са особено неприятни, защото засягат границата между "само за четене" файла и фактическото съдържание, което ядро и процесите виждат при последващи обращения. Elastic по-рано описваше този клас е практичен начин за получаване на root чрез корупция на page-cache.

Към момента на публикуването отделен CVE идентификатор за GRO Frag, judging by наличната информация, все още не е бил назначен. Като временна мярка администраторите трябва да се ориентират към актуализиране на ядрото до версия с корекция, както и към общи мерки за намаляване на риска от подобни LPE: ограничаване на непривилегированите user namespaces там, където е допустимо, контрол на използването на io_uring и мониторинг на подозрителни серии, свързани с локална ескалация на привилегии. За сродни атаки Copy Fail/DirtyFrag, Elastic също препоръчва комбиниране на пачване с откриване на нискоуровневите примитиви на експлоатация на уязвимостта.

Нискоуровневите примитиви на експлоатация не са самият "готов хак", а основни технически прийоми, от които се изгражда експлоита.

В контекста на GRO Frag това може да означава не откриване на завършен факт "потребителят стана root", а опит за забелязване на отделни подозрителни действия, които експлоитът използва по пътя към повишаване на привилегиите.

Източник: linux.org.ru