Spole\u010dnost Qualys identifikovala dv\u011b zranitelnosti v n\u00e1stroj\u00edch apport (CVE-2025-5054) a systemd-coredump (CVE-2025-4598), kter\u00e9 se pou\u017e\u00edvaj\u00ed pro zpracov\u00e1n\u00ed core soubor\u016f generovan\u00fdch po hav\u00e1rii proces\u016f. Zranitelnosti umo\u017e\u0148uj\u00ed p\u0159\u00edstup k core soubor\u016fm ulo\u017een\u00fdm po hav\u00e1rii suid aplikac\u00ed nebo n\u011bkter\u00fdch syst\u00e9mov\u00fdch proces\u016f na pozad\u00ed, v jejich\u017e pam\u011bti se mohou nach\u00e1zet ulo\u017een\u00e9 p\u0159ihla\u0161ovac\u00ed \u00fadaje nebo \u0161ifrovac\u00ed kl\u00ed\u010de. N\u00e1stroj apport je automaticky vyvol\u00e1n pro ulo\u017een\u00ed core dump\u016f v Ubuntu, zat\u00edmco systemd-coredump v Red Hat Enterprise Linux 9+, Fedora a mnoha dal\u0161\u00edch distribuc\u00edch Linuxu. <\/p>\n
Byla demonstrov\u00e1na technika \u00fatoku, p\u0159i kter\u00e9 byly vytvo\u0159eny podm\u00ednky pro hav\u00e1rii suid aplikace unix_chkpwd a z\u00edsk\u00e1n\u00ed p\u0159\u00edstupu k core souboru s dumpem stavu b\u011bhem p\u00e1du. Ulo\u017een\u00e9m core dumpu byly obsa\u017eeny hashe hesel u\u017eivatel\u016f syst\u00e9mu, kter\u00e9 z\u016fstaly v pam\u011bti havarovan\u00e9ho procesu po na\u010dten\u00ed obsahu \/etc\/shadow. Mo\u017enost zneu\u017eit\u00ed zranitelnost\u00ed byla prok\u00e1z\u00e1na v Ubuntu 24.04 a Fedora 40\/41, ale p\u0159edpokl\u00e1d\u00e1 se, \u017ee i dal\u0161\u00ed distribuce jsou podobn\u00fdm \u00fatok\u016fm vystaveny. <\/p>\n
Ob\u011b zranitelnosti jsou zp\u016fsobeny stavem z\u00e1vodu, kter\u00fd umo\u017e\u0148uje nahradit havarovan\u00fd suid proces jin\u00fdm procesem v okam\u017eiku po za\u010d\u00e1tku zpracov\u00e1n\u00ed j\u00e1drem hav\u00e1rie, ale p\u0159ed kontrolou zpracovatelem v u\u017eivatelsk\u00e9m prostoru parametr\u016f procesu p\u0159es \/proc\/pid\/files. Vol\u00e1n\u00ed apportu a systemd-coredump prob\u00edh\u00e1 n\u00e1sledovn\u011b: j\u00e1dro, pot\u00e9 co obdr\u017e\u00ed informace o hav\u00e1rii procesu, vyvol\u00e1 zpracovatele uveden\u00e9ho v souboru \/proc\/sys\/kernel\/core_pattern, po \u010dem\u017e mu p\u0159ed\u00e1 obsah core dumpu p\u0159es vstupn\u00ed proud. <\/p>\n
Generov\u00e1n\u00ed core dumpu a spu\u0161t\u011bn\u00ed zpracovatele neprob\u00edh\u00e1 okam\u017eit\u011b a je dost \u010dasu na to, aby bylo mo\u017en\u00e9 nahradit havarovan\u00fd suid proces b\u011b\u017en\u00fdm procesem u\u017eivatele. V p\u0159\u00edpad\u011b nahrazen\u00ed bude spu\u0161t\u011bn\u00fd zpracovatel core dump\u016f pova\u017eovat, \u017ee chyba nenastala v suid procesu, ale v b\u011b\u017en\u00e9 aplikaci u\u017eivatele, a t\u00edm p\u00e1dem ulo\u017e\u00ed core soubor s p\u0159\u00edstupem b\u011b\u017en\u00e9ho u\u017eivatele, nikoli pouze administr\u00e1tora. <\/p>\n
\u00datok na apport spo\u010d\u00edv\u00e1 v n\u00e1sleduj\u00edc\u00edch kroc\u00edch: <\/p>\n
Aby se pro nov\u00fd proces z\u00edskal pot\u0159ebn\u00fd identifik\u00e1tor odpov\u00eddaj\u00edc\u00ed identifik\u00e1toru suid procesu, p\u0159ed zasl\u00e1n\u00edm sign\u00e1lu SIGSEGV je suid proces zastaven sign\u00e1lem SIGSTOP a b\u011bhem zastaven\u00ed se cyklicky spou\u0161t\u00ed nov\u00e9 procesy, dokud nen\u00ed z\u00edsk\u00e1n PID s p\u0159edchoz\u00edm \u010d\u00edslem bl\u00edzk\u00fdm zam\u011bniteln\u00e9mu suid procesu. Po posunu \u010d\u00edslov\u00e1n\u00ed PID jsou suid procesu zasl\u00e1ny sign\u00e1ly SIGSEGV a SIGCONT, po kter\u00fdch je odesl\u00e1n SIGKILL a cyklicky se spou\u0161t\u00ed nov\u00e9 procesy pro dosa\u017een\u00ed stejn\u00e9ho PID jako u suid procesu. <\/p>\n
Pokud jde o systemd-coredump, na jedn\u00e9 stran\u011b je \u00fatok na n\u011bj snaz\u0161\u00ed, proto\u017ee nen\u00ed t\u0159eba nahrazovat suid proces procesem v odd\u011blen\u00e9m u\u017eivatelsk\u00e9m prostoru, sta\u010d\u00ed dos\u00e1hnout shody AT_UID a AT_EUID. Na druh\u00e9 stran\u011b je systemd-coredump naps\u00e1n v jazyce C a spou\u0161t\u00ed se dostate\u010dn\u011b rychle, co\u017e d\u00e1v\u00e1 m\u00e9n\u011b \u010dasu na substituci, na rozd\u00edl od apportu, kter\u00fd je naps\u00e1n v Pythonu a b\u011bhem inicializace na\u010d\u00edt\u00e1 r\u016fzn\u00e9 pyc soubory. Tento probl\u00e9m se \u0159e\u0161\u00ed um\u011bl\u00fdm zpomalen\u00edm systemd-coredump - p\u0159i vol\u00e1n\u00ed suid souboru se p\u0159ed\u00e1v\u00e1 velmi velk\u00e9 mno\u017estv\u00ed argument\u016f p\u0159\u00edkazov\u00e9ho \u0159\u00e1dku, co\u017e vytv\u00e1\u0159\u00ed pot\u0159ebn\u00e9 zpo\u017ed\u011bn\u00ed, kter\u00e9 vznik\u00e1 b\u011bhem anal\u00fdzy \/proc\/pid\/cmdline. <\/p>\n
B\u011bhem anal\u00fdzy zranitelnost\u00ed v\u00fdzkumn\u00edci tak\u00e9 zjistili, \u017ee systemd-coredump p\u0159i nastaven\u00ed vol\u00e1n\u00ed neuv\u00e1d\u00ed v \/proc\/sys\/kernel\/core_pattern p\u0159\u00edznak %d, co\u017e \u00fato\u010dn\u00edkovi umo\u017e\u0148uje zp\u016fsobit havarijn\u00ed ukon\u010den\u00ed na pozad\u00ed b\u011b\u017e\u00edc\u00edch proces\u016f, vykon\u00e1van\u00fdch s privilgovan\u00fdmi pr\u00e1vy a odv\u011btvuj\u00edc\u00edch dal\u0161\u00ed procesy se zm\u011bnou identifik\u00e1toru u\u017eivatele na neprivilgovan\u00e9ho u\u017eivatele, pod kter\u00fdm se \u00fatok kon\u00e1. Tato mo\u017enost umo\u017e\u0148uje prov\u00e9st \u00fatok nejen na setuid aplikace, ale tak\u00e9 na procesy jako sshd-session (OpenSSH), sd-pam (systemd) a cron, za \u00fa\u010delem z\u00edsk\u00e1n\u00ed citliv\u00fdch dat, kter\u00e1 z\u016fst\u00e1vaj\u00ed v jejich pam\u011bti, jako jsou soukrom\u00e9 kl\u00ed\u010de, hashovac\u00ed hesla z \/etc\/shadow, kan\u00e1rkov\u00e9 zna\u010dky ze z\u00e1sobn\u00edku a data pro obch\u00e1zen\u00ed randomizace adresn\u00edho prostoru (ASLR). <\/p>\n