Уязвимости Dirty Frag, които променят кеша на страниците, за да получат root права в каквито и да било дистрибуции на Linux

В ядрото на Linux са открити две уязвимости, които по същество са аналогични на уязвимостта Copy Fail, разкрита преди няколко дни, но се проявяват в други подсистеми - xfrm-ESP и RxRPC. На сериите уязвимости е присвоено кодовото име Dirty Frag (сред другото се среща и упоминание Copy Fail 2). Уязвимостите позволяват на непривилегирован потребител да получи root права, като презапише данни на процеса в страницовия кеш. Наличен е експлоит, който работи във всички актуални дистрибуции на Linux. Информацията за уязвимостта е разкрита преди публикуването на корекции, но има обходен метод за блокиране на проблема.

Dirty Frag обхваща две различни уязвимости: първата е в модула xfrm-ESP, който се използва за ускоряване на операциите по криптиране в IPsec с използването на протокола ESP (Encapsulating Security Payload), а втората е в драйвера RxRPC, реализиращ семейството сокети AF_RXRPC и одноименния RPC-протокол, работещ над UDP. Всяка от уязвимостите поотделно позволява получаване на root права. Уязвимостта в xfrm-ESP се проявява в ядрото на Linux от януари 2017 г., а уязвимостта в RxRPC - от юни 2023 г. И двете проблеми са причинени от оптимизации, допускащи директна записване в страницовия кеш.

За експлоатация на уязвимостта в xfrm-ESP потребителят трябва да разполага с права за създаване на пространства от имена, а за експлоатация на уязвимостта в RxRPC трябва да има възможност за зареждане на ядрения модул rxrpc.ko. Например, в Ubuntu в правилата на AppArmor на непривилегированите потребители е забранено да създават пространства от имена, но по подразбиране модулът rxrpc.ko се зарежда. В някои дистрибутиви липсва модул rxrpc.ko, но не се блокира създаването на пространства от имена. Изследователят, който откри проблема, е подготвил комбиниран експлойт, способен да атакува системата през двете уязвимости, което позволява експлоатацията на проблема във всички основни дистрибутиви. Работата на експлойта е потвърдена в Ubuntu 24.04.4 с ядро 6.17.0-23, RHEL 10.1 с ядро 6.12.0-124.49.1, openSUSE Tumbleweed с ядро 7.0.2-1, CentOS Stream 10 с ядро 6.12.0-224, AlmaLinux 10 с ядро 6.12.0-124.52.3 и Fedora 44 с ядро 6.19.14-300.

Както и при уязвимостта Copy Fail, проблемите в xfrm-ESP и RxRPC са причинени от изпълнението на декриптиране на данни на място, използвайки функцията splice(), която предава данни между файлови дескриптори и канали (pipe) без копиране, чрез предаване на референции на елементи в страницовия кеш. Отклоненията за операцията по запис се изчисляваха без подходящи проверки, които да вземат предвид използването на директна референция на елементи в страницовия кеш, което позволяваше чрез изпращането на специално форматирани заявки да се презапише 4 байта на избраната позиция и да се промени съдържанието на всеки файл в страницовия кеш.

Всички операции по четене от файлове първо извличат съдържание от страницовия кеш. В случай на модификация на данните в страницовия кеш, операциите по четене от файла ще доведат до връщане не на реално съхраняваната на носителя информация, а на подменени данни. Експлоатацията на уязвимостта се свежда до промяна на страницовия кеш за изпълним файл с флаг suid root. Например, за получаване на root права може да се прочете изпълним файл /usr/bin/su, за да се постави в страницовия кеш, след което да се постигне замяна на своя код в зареденото в страницовия кеш съдържание на този файл. Последващото стартиране на утилитата „su“ ще доведе до това, че в паметта ще бъде зареден не оригиналният изпълним файл от носителя, а променената му копие от страницовия кеш.

Разкритията относно уязвимостите и координираното публикуване на актуализации за решение на проблемите бяха планирани за 12-ти май, но заради изтичането на информация, данните за уязвимостта трябваше да бъдат публикувани преди публикуването на корекциите. В края на април в публичния списък с имейли netdev бяха публикувани пачове за rxrpc, ipsec и xfrm, без да се споменава, че те са свързани с отстраняването на уязвимостта. На 5-ти май поддържачът на подсистемата IPsec прие в git-репозитория netdev промяна с предложената корекция в модула xfrm-esp, описанието на която до голяма степен повтаряше описанието на проблема, довел до уязвимостта Copy Fail в модула algif_aead. Един от изследователите по сигурността се заинтересува от тази корекция, успя да създаде работещ експлоит и го публикува, без да знае, че разкритията относно проблема имат ембарго до 12-ти май.

Актуализациите с корекции за ядрото на Linux и пакетите с ядрото в дистрибуциите все още не са публикувани, но са налични патчове, които решават проблемите - xfrm-esp и rxrpc. CVE идентификаторите не са присвоени, което усложнява проследяването на актуализациите на пакетите в дистрибуциите. Като обходен път за защита, може да се блокира зареждането на модулите на ядрото esp4, esp6 и rxrpc: sh -c «printf ‘install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n’ > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true»

Източник: opennet.ru