Qualys har identificeret to s\u00e5rbarheder i apport-v\u00e6rkt\u00f8jerne (CVE-2025-5054) og systemd-coredump (CVE-2025-4598), der bruges til at h\u00e5ndtere core-filer genereret efter uventet afslutning af processer. S\u00e5rbarhederne g\u00f8r det muligt at f\u00e5 adgang til core-filer, der er gemt efter uventet afslutning af suid-applikationer eller visse systembaggrundsprocesser, hvis hukommelse kan indeholde cachede legitimationsoplysninger eller krypteringsn\u00f8gler. Apport-v\u00e6rkt\u00f8jet kaldes automatisk for at gemme core-dumps i Ubuntu, mens systemd-coredump bruges i Red Hat Enterprise Linux 9+, Fedora og mange andre Linux-distributioner. <\/p>\n
Der blev demonstreret en angrebsteknik, hvor der blev skabt betingelser for uventet afslutning af suid-applikationen unix_chkpwd og adgang til core-filen med dumpede tilstande under nedbruddet. Den gemte core-dump indeholdt hash-v\u00e6rdier for brugernes adgangskoder, der forblev i hukommelsen p\u00e5 den uventet afsluttede proces efter indl\u00e6sning af indholdet fra \/etc\/shadow. Muligheden for udnyttelse af s\u00e5rbarhederne blev demonstreret i Ubuntu 24.04 og Fedora 40\/41, men det antages, at ogs\u00e5 andre distributioner er s\u00e5rbare over for s\u00e5danne angreb. <\/p>\n
Begge s\u00e5rbarheder stammer fra en racecondition, der g\u00f8r det muligt at erstatte en uventet afsluttet suid-proces med en anden proces lige efter at kernen har p\u00e5begyndt h\u00e5ndteringen af nedbruddet, men f\u00f8r kontrolhukommelsen i brugerprocessen tjekker procesparametrene via \/proc\/pid\/files. Kaldet til apport og systemd-coredump foreg\u00e5r p\u00e5 f\u00f8lgende m\u00e5de: kernen, efter at have modtaget information om en procesfejl, kalder den angivne behandler i filen \/proc\/sys\/kernel\/core_pattern, hvorefter den sender indholdet af core-dumpen gennem inputstr\u00f8mmen. <\/p>\n
Genereringen af core-dumpen og kaldet til behandleren sker ikke \u00f8jeblikkeligt, og der er tilstr\u00e6kkelig tid til at erstatte den afsluttede suid-proces med en almindelig brugerproces. I tilf\u00e6lde af substitution vil den k\u00f8rende core-dump-behandler antage, at fejlen ikke skete i suid-processen, men i en almindelig brugerapplikation, og derfor vil den gemme core-filen med adgangsretter for almindelige brugere, i stedet for kun administratorer. <\/p>\n
Angrebet mod apport kan opsummeres i f\u00f8lgende trin: <\/p>\n
For at tilvejebringe den \u00f8nskede identifikator for den nye proces, der matcher identifikatoren for suid-processen, stoppes suid-processen med signalet SIGSTOP, og mens den er stoppet, startes der cyklisk nye processer, indtil der opn\u00e5s en PID med et tidligere nummer, der er t\u00e6t p\u00e5 den erstatningsdygtige suid-proces. Efter at PID'erne er forskudt, sendes der SIGSEGV og SIGCONT signaler til suid-processen, hvorefter der sendes et SIGKILL signal, og der startes cyklisk nye processer for at opn\u00e5 den samme PID som suid-processen. <\/p>\n
N\u00e5r det kommer til systemd-coredump, er det p\u00e5 den ene side lettere at udf\u00f8re et angreb mod det, da der ikke er behov for at erstatte suid-processen med en proces i et separat brugerrum, og det er tilstr\u00e6kkeligt at f\u00e5 AT_UID og AT_EUID til at stemme overens. P\u00e5 den anden side er systemd-coredump skrevet i C og k\u00f8rer hurtigt, hvilket giver mindre tid til substitution, i mods\u00e6tning til apport, som er skrevet i Python og under initieringen indl\u00e6ser forskellige pyc-filer. Dette problem kan l\u00f8ses ved kunstigt at forsinke systemd-coredump \u2014 n\u00e5r der kaldes p\u00e5 suid-filen, overf\u00f8res et stort antal kommandolinjeargumenter, hvilket skaber den n\u00f8dvendige forsinkelse, der opst\u00e5r under analysen af \/proc\/pid\/cmdline. <\/p>\n
I l\u00f8bet af s\u00e5rbarhedsanalyserne har forskerne ogs\u00e5 opdaget, at systemd-coredump ved opkaldsindstillinger ikke angiver flaget '%d' i \/proc\/sys\/kernel\/core_pattern, hvilket tillader en angriber at udl\u00f8se en n\u00f8dsituation i baggrundsprocesser, der k\u00f8res med root-rettigheder og oprettede andre processer med \u00e6ndring af brugeridentifikatoren til en ikke-privilegieret bruger, som angrebet udf\u00f8res under. Denne mulighed tillader angreb ikke kun p\u00e5 setuid-applikationer, men ogs\u00e5 p\u00e5 processer som sshd-session (OpenSSH), sd-pam (systemd) og cron for at f\u00e5 adgang til f\u00f8lsomme data, der er tilbageholdt i deres hukommelse, s\u00e5som hemmelige n\u00f8gler, adgangskodehash fra \/etc\/shadow, kanariefugle-m\u00e6rker fra stakken og data til at omg\u00e5 Address Space Layout Randomization (ASLR). <\/p>\n