V j\u00e1d\u0159e Linux byly odhaleny dv\u011b zranitelnosti, kter\u00e9 jsou v z\u00e1sad\u011b podobn\u00e9 ned\u00e1vno odhalen\u00e9 zranitelnosti Copy Fail, ale projevuj\u00ed se v jin\u00fdch subsyst\u00e9mech \u2014 xfrm-ESP a RxRPC. S\u00e9rii zranitelnost\u00ed bylo p\u0159id\u011bleno k\u00f3dov\u00e9 jm\u00e9no Dirty Frag (tak\u00e9 se objevuje zm\u00ednka Copy Fail 2). Zranitelnosti umo\u017e\u0148uj\u00ed nepriviligovan\u00e9mu u\u017eivateli z\u00edskat pr\u00e1va root p\u0159eps\u00e1n\u00edm dat procesu v str\u00e1nkov\u00e9m cache. Je k dispozici exploit, kter\u00fd funguje ve v\u0161ech aktu\u00e1ln\u00edch distribuc\u00edch Linuxu. Informace o zranitelnosti byly zve\u0159ejn\u011bny p\u0159ed vyd\u00e1n\u00edm oprav, ale existuje obch\u00e1zej\u00edc\u00ed metoda blokov\u00e1n\u00ed probl\u00e9mu. <\/p>\n
Dirty Frag pokr\u00fdv\u00e1 dv\u011b r\u016fzn\u00e9 zranitelnosti: prvn\u00ed v modulu xfrm-ESP, kter\u00fd se pou\u017e\u00edv\u00e1 pro zrychlen\u00ed operac\u00ed \u0161ifrov\u00e1n\u00ed v IPsec pomoc\u00ed protokolu ESP (Encapsulating Security Payload), a druhou v ovlada\u010di RxRPC, kter\u00fd implementuje rodinu soket\u016f AF_RXRPC a stejnojmenn\u00fd RPC protokol funguj\u00edc\u00ed nad UDP. Ka\u017ed\u00e1 z zranitelnost\u00ed samostatn\u011b umo\u017e\u0148uje z\u00edsk\u00e1n\u00ed pr\u00e1v root. Zranitelnost v xfrm-ESP se projevuje v j\u00e1d\u0159e Linuxu od ledna 2017, zat\u00edmco zranitelnost v RxRPC od \u010dervna 2023. Oba probl\u00e9my jsou zp\u016fsobeny optimalizacemi, kter\u00e9 umo\u017e\u0148uj\u00ed p\u0159\u00edm\u00fd z\u00e1pis do str\u00e1nkov\u00e9ho cache. <\/p>\n
Pro zneu\u017eit\u00ed zranitelnosti v xfrm-ESP mus\u00ed m\u00edt u\u017eivatel pr\u00e1va na vytv\u00e1\u0159en\u00ed prostor\u016f n\u00e1zv\u016f, zat\u00edmco pro zneu\u017eit\u00ed zranitelnosti v RxRPC mus\u00ed b\u00fdt mo\u017enost na\u010d\u00edst j\u00e1drov\u00fd modul rxrpc.ko. Nap\u0159\u00edklad v Ubuntu jsou podle pravidel AppArmor neprivilegovan\u00e9mu u\u017eivateli zak\u00e1z\u00e1na pr\u00e1va na vytv\u00e1\u0159en\u00ed prostor\u016f n\u00e1zv\u016f, ale j\u00e1drov\u00fd modul rxrpc.ko je ve v\u00fdchoz\u00edm nastaven\u00ed na\u010dten. V n\u011bkter\u00fdch distribuc\u00edch modul rxrpc.ko chyb\u00ed, ale nen\u00ed blokov\u00e1no vytv\u00e1\u0159en\u00ed prostor\u016f n\u00e1zv\u016f. V\u00fdzkumn\u00edk, kter\u00fd probl\u00e9m odhalil, p\u0159ipravil kombinovan\u00fd exploit, schopn\u00fd napadnout syst\u00e9m p\u0159es ob\u011b zranitelnosti, co\u017e umo\u017e\u0148uje vyu\u017e\u00edt probl\u00e9m ve v\u0161ech hlavn\u00edch distribuc\u00edch. Fungov\u00e1n\u00ed exploitu bylo potvrzeno v Ubuntu 24.04.4 s j\u00e1drem 6.17.0-23, RHEL 10.1 s j\u00e1drem 6.12.0-124.49.1, openSUSE Tumbleweed s j\u00e1drem 7.0.2-1, CentOS Stream 10 s j\u00e1drem 6.12.0-224, AlmaLinux 10 s j\u00e1drem 6.12.0-124.52.3 a Fedora 44 s j\u00e1drem 6.19.14-300. <\/p>\n
Podobn\u011b jako u zranitelnosti Copy Fail, probl\u00e9my v xfrm-ESP a RxRPC jsou zp\u016fsobeny prov\u00e1d\u011bn\u00edm de\u0161ifrov\u00e1n\u00ed dat na m\u00edst\u011b s pou\u017eit\u00edm funkce splice(), kter\u00e1 p\u0159en\u00e1\u0161\u00ed data mezi souborov\u00fdmi deskriptory a kan\u00e1ly (pipe) bez kop\u00edrov\u00e1n\u00ed, pomoc\u00ed p\u0159ed\u00e1n\u00ed odkaz\u016f na polo\u017eky ve str\u00e1nkov\u00e9m cache. Posuny pro operaci z\u00e1pisu byly vypo\u010d\u00edt\u00e1ny bez \u0159\u00e1dn\u00fdch kontrol, kter\u00e9 by zohlednily pou\u017eit\u00ed p\u0159\u00edm\u00e9ho odkazu na polo\u017eky ve str\u00e1nkov\u00e9m cache, co\u017e umo\u017enilo prost\u0159ednictv\u00edm zas\u00edl\u00e1n\u00ed speci\u00e1ln\u011b formulovan\u00fdch po\u017eadavk\u016f p\u0159epsat 4 bajty na vybran\u00e9m posunu a upravit obsah jak\u00e9hokoli souboru nach\u00e1zej\u00edc\u00edho se ve str\u00e1nkov\u00e9m cache. <\/p>\n
V\u0161echny operace \u010dten\u00ed z soubor\u016f nejprve vracej\u00ed obsah ze str\u00e1nkov\u00e9ho cache. V p\u0159\u00edpad\u011b modifikace dat ve str\u00e1nkov\u00e9m cache \u010dten\u00ed ze souboru povede k n\u00e1vratu ne skute\u010dn\u011b ulo\u017een\u00fdch na za\u0159\u00edzen\u00ed informac\u00ed, ale k pozm\u011bn\u011bn\u00fdm dat\u016fm. Vyu\u017eit\u00ed zranitelnosti spo\u010d\u00edv\u00e1 ve zm\u011bn\u011b str\u00e1nkov\u00e9ho cache pro spustiteln\u00fd soubor s flagem suid root. Nap\u0159\u00edklad pro z\u00edsk\u00e1n\u00ed pr\u00e1v root lze p\u0159e\u010d\u00edst spustiteln\u00fd soubor \/usr\/bin\/su a um\u00edstit ho do str\u00e1nkov\u00e9ho cache, po \u010dem\u017e lze dos\u00e1hnout nahrazen\u00ed sv\u00e9ho k\u00f3du v na\u010dten\u00e9 podob\u011b z tohoto souboru ve str\u00e1nkov\u00e9m cache. N\u00e1sledn\u00e9 spu\u0161t\u011bn\u00ed utility \u201esu\u201c povede k tomu, \u017ee do pam\u011bti bude na\u010dtena nikoli origin\u00e1ln\u00ed spustiteln\u00fd soubor z \u00falo\u017ei\u0161t\u011b, ale pozm\u011bn\u011bn\u00e1 kopie ze str\u00e1nkov\u00e9ho cache. <\/p>\n
Odhalen\u00ed informac\u00ed o zranitelnostech a koordinovan\u00e9 vyd\u00e1v\u00e1n\u00ed oprav s odstran\u011bn\u00edm probl\u00e9m\u016f bylo pl\u00e1nov\u00e1no na 12. kv\u011btna, ale kv\u016fli \u00faniku informac\u00ed musely b\u00fdt detaily o zranitelnosti publikov\u00e1ny p\u0159ed vyd\u00e1n\u00edm opravn\u00fdch aktualizac\u00ed. Na konci dubna byly na ve\u0159ejn\u00e9m mailing listu netdev publikov\u00e1ny patche pro rxrpc, ipsec a xfrm, ani\u017e by bylo zm\u00edn\u011bno, \u017ee se t\u00fdkaj\u00ed odstran\u011bn\u00ed zranitelnosti. 5. kv\u011btna maintainer subsyst\u00e9mu IPsec p\u0159ijal do git-repozit\u00e1\u0159e netdev zm\u011bnu s navr\u017een\u00fdm opravou v modulu xfrm-esp, jej\u00ed\u017e popis v mnoha ohledech opakoval popis probl\u00e9mu, kter\u00fd vedl k zranitelnosti Copy Fail v modulu algif_aead. Jeden z bezpe\u010dnostn\u00edch v\u00fdzkumn\u00edk\u016f projevil z\u00e1jem o tuto opravu, dok\u00e1zal vytvo\u0159it funk\u010dn\u00ed exploitable a publikoval ho, ani\u017e by v\u011bd\u011bl, \u017ee je na odhalen\u00ed informac\u00ed o probl\u00e9mu do 12. kv\u011btna uvaleno embargo. <\/p>\n