Der er offentliggjort et exploit for den syvende sårbarhed (1, 2-3, 4, 5, 6) i Linux-kernen, som gør det muligt for en ikke-privilegeret lokal bruger at få root-rettigheder ved at overskrive data i siden cache. CVE-identifikatoren er endnu ikke tildelt, og udover exploit-koden er der ikke yderligere information om problemet. Rettelsen er kun tilgængelig som en patch, der blev offentliggjort den 20. maj, og som blev accepteret i hovedgrenen af Linux-kernen den 21. maj (rettede kerneudgivelser er endnu ikke tilgængelige).
Sårbarheden findes i implementeringen af teknologien GRO (Generic Receive Offload), der bruges til at fremskynde behandlingen af segmenterede pakker. Sårbarheden er forårsaget af en fejl i implementeringen af zerocopy-mekanismen i funktionen skb_gro_receive(), som direkte ændrer data i siden cache for at undgå unødvendig buffering. Når flaget SKBFL_MANAGED_FRAG_REFS er aktiveret, blev opbevaringen af reference til de frigivne hukommelsessider i feltet shinfo->frags sprunget over, hvorefter dette felt blev tilføjet til et andet skb uden at ændre reference tælleren, hvilket førte til adgang til hukommelse efter dens frigivelse (use-after-free). Problemet kunne udnyttes til at overskrive data i siden cache ved at manipulere med pointeren til bufferet io_uring.
Angrebet er muligt på systemer med den aktiverede io_uring subsystem (io_uring_disabled=0). For at exploiten skal fungere, skal der være en læsbar eksekverbar fil i systemet med SUID-root flag. Udnyttelsesmekanismen går ud på, at angriberen får brugerdatabasen til at sætte sig i siden cache, hvorefter der indsættes strengen "hax::0:0::/root:/bin/sh" i cachen. Derefter køres kommandoen "su hax", som får den ændrede brugerbase med det falske login "hax", som har root-rettigheder og et tomt kodeord. Exploiten er testet i Ubuntu 24.04.
Kilde: opennet.ru
