Firmaen Qualys har opdaget s\u00e5rbarheden (CVE-2025-6019) i bibliotekerne libblockdev, der muligg\u00f8r at opn\u00e5 root-rettigheder i systemet gennem manipulation af baggrundsprocessen udisks. Prototypeudnyttelsen er demonstreret i Ubuntu, Debian, Fedora og openSUSE Leap 15. <\/p>\n
Udisks-processen bruges i n\u00e6sten alle Linux-distributioner og tilbyder et D-Bus-gr\u00e6nseflade til udf\u00f8relse af operationer med lagringsenheder som montering og formatering. For at udf\u00f8re handlinger med lagringsenheder kalder udisks funktioner fra libblockdev-biblioteket. Adgang til udisks er som standard kun \u00e5ben for brugere, der arbejder i konteksten \u00aballow_active\u00bb, dvs. som har fysisk adgang til computeren og er tilsluttet via den lokale konsol eller har startet en grafisk session. Brugere, der tilslutter sig eksternt, for eksempel via ssh, falder ikke ind under denne kontekst og kan ikke direkte udnytte s\u00e5rbarheden. <\/p>\n
For at omg\u00e5 denne begr\u00e6nsning kan man bruge et trick, der g\u00f8r det muligt at h\u00e6ve autentifikationsniveauet til \u00aballow_active\u00bb ved at manipulere med start af systemctl brugerens service, som polkitd vil opfatte som et tegn p\u00e5 en lokal session. Metodens essens er, at polkitd bestemmer tilstedev\u00e6relsen af fysisk adgang og tildeler niveauet \u00aballow_active\u00bb baseret p\u00e5 indirekte tegn, som man kan p\u00e5virke. Begr\u00e6nsningen ved metoden er, at for at narre polkitd kr\u00e6ves det, at der allerede er en aktiv session for en lokal bruger med fysisk adgang. <\/p>\n
Den anden metode til at opn\u00e5 \u00aballow_active\u00bb rettigheder er udnyttelse af en s\u00e5rbarhed (CVE-2025-6018) i PAM (Pluggable Authentication Modules), som forskere fra Qualys identificerede under en analyse af s\u00e5rbarheden i libblockdev. S\u00e5rbarheden tillader enhver bruger, inklusive dem der tilslutter sig via SSH, at udf\u00f8re operationer i konteksten \u00aballow_active\u00bb. Problemet er specifikt for PAM-konfigurationerne i openSUSE Leap 15 og SUSE Linux Enterprise 15 og viser sig kun i disse distributioner. <\/p>\n
I modulet pam_env i openSUSE og SUSE er l\u00e6sning af filen ~\/ .pam_environment som standard aktiveret. Gennem denne fil kan brugeren indstille milj\u00f8variablerne XDG_SEAT=seat0 og XDG_VTNR=1, som ved videre behandling vil blive opfattet som tegn p\u00e5 brugerens fysiske tilstedev\u00e6relse, selvom login faktisk er sket via SSH. Modulet pam_env kaldes ogs\u00e5 ved tilslutning via SSH i Debian 12 og Ubuntu 24.04 (i Debian 13 og Ubuntu 24.10+ er det deaktiveret), men indstillingen af milj\u00f8variabler i disse distributioner kan ikke bruges til at opn\u00e5 h\u00f8jere adgangsniveau til 'allow_active', da pam_env kaldes p\u00e5 det sidste trin efter indl\u00e6sningen af modulet pam_systemd, og de indstillede milj\u00f8variabler ikke kan p\u00e5virke sessionens parametre. <\/p>\n
N\u00e5r det kommer til s\u00e5rbarheden i libblockdev, kan en angriber montere et billede af et vilk\u00e5rligt filsystem i loop-tilstand ved at placere en eksekverbar fil med SUID root-flaget eller en speciel enhed (\/dev\/mem) til lavniveauadgang til diske eller hukommelse i dette billede. For at blokere for s\u00e5danne angreb monterer systemet filsystembilleder med flagene nosuid og nodev, men s\u00e5rbarheden i libblockdev giver mulighed for at montere et billede uden flagene nosuid og nodev. S\u00e5rbarheden best\u00e5r i, at udisks tillader en bruger med adgangsniveauet 'allow_active' at \u00e6ndre st\u00f8rrelsen p\u00e5 sine filsystemer, og libblockdev midlertidigt monterer filsystemet uden at s\u00e6tte flagene nosuid og nodev under denne operation. <\/p>\n
Dermed reduceres angrebet til at oprette et loop-enhed baseret p\u00e5 et XFS-billede, som indeholder en suid root-fil, initiere en st\u00f8rrelse\u00e6ndringsoperation p\u00e5 loop-enheden og overv\u00e5ge tidspunktet for dens montering i katalogen \/tmp\/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup \u2014file .\/xfs.image \u2014no-user-interaction Mapped file .\/xfs.image as \/dev\/loop0. victim> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call \u2014system \u2014dest org.freedesktop.UDisks2 \u2014object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 \u2014method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error resizing filesystem on \/dev\/loop0: Failed to unmount '\/dev\/loop0' after resizing it: target is busy -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody) <\/p>\n
S\u00e5rbarheden i libblockdev er indtil videre kun blevet rettet gennem patches. For at kontrollere status for den nye version af pakken eller forberedelsen af en rettelse i distributionerne, kan du bes\u00f8ge f\u00f8lgende sider (hvis siden ikke er tilg\u00e6ngelig, betyder det, at udviklerne af distributionen endnu ikke er begyndt at behandle problemet): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo og Arch (1, 2). Som en midlertidig l\u00f8sning for at blokere s\u00e5rbarheden kan adgangsreglen til operationen \"org.freedesktop.udisks2.modify-device\" i polkit \u00e6ndres ved at \u00e6ndre v\u00e6rdien af parametret \"allow_active\" fra \"yes\" til \"auth_admin\" i filen \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy. <\/p>\n