I Linux-kernen er der opdaget to s\u00e5rbarheder, som i deres essens ligner s\u00e5rbarheden Copy Fail, der blev afsl\u00f8ret for et par dage siden, men som viser sig i andre subsystemer \u2014 xfrm-ESP og RxRPC. S\u00e5rbarhedsserien er tildelt kodeordet Dirty Frag (der er ogs\u00e5 omtale af Copy Fail 2). S\u00e5rbarhederne g\u00f8r det muligt for en ikke-privilegeret bruger at opn\u00e5 root-rettigheder ved at overskrive data fra processen i sidecachen. Der findes et exploit, der fungerer p\u00e5 alle aktuelle Linux-distributioner. Information om s\u00e5rbarheden er blevet afsl\u00f8ret f\u00f8r offentligg\u00f8relsen af rettelserne, men der er en omg\u00e5else for at blokere problemet. <\/p>\n
Dirty Frag d\u00e6kker over to forskellige s\u00e5rbarheder: den f\u00f8rste i modulet xfrm-ESP, der anvendes til at accelerere krypteringsoperationer i IPsec ved brug af protokollen ESP (Encapsulating Security Payload), og den anden i driveren RxRPC, som implementerer socketfamilien AF_RXRPC og den navngivne RPC-protokol, der k\u00f8rer over UDP. Hver af s\u00e5rbarhederne giver mulighed for at opn\u00e5 root-rettigheder individuelt. S\u00e5rbarheden i xfrm-ESP er til stede i Linux-kernen siden januar 2017, mens s\u00e5rbarheden i RxRPC har eksisteret siden juni 2023. Begge problemer skyldes optimeringer, der tillader direkte skrivning til sidecachen. <\/p>\n
For at udnytte s\u00e5rbarheden i xfrm-ESP skal brugeren have ret til at oprette navnerum, og for at udnytte s\u00e5rbarheden i RxRPC skal det v\u00e6re muligt at indl\u00e6se kernen modulerne rxrpc.ko. For eksempel i Ubuntu er det i AppArmor-reglerne forbudt for ikke-privilegerede brugere at oprette navnerum, men modulerne rxrpc.ko indl\u00e6ses som standard. I nogle distributioner findes rxrpc.ko-modulet ikke, men oprettelse af navnerum blokeres ikke. Den forsker, der har identificeret problemet, har udarbejdet et kombineret exploit, der kan angreb systemet gennem begge s\u00e5rbarheder, hvilket g\u00f8r det muligt at udnytte problemet i alle st\u00f8rre distributioner. Exploitens funktion er bekr\u00e6ftet i Ubuntu 24.04.4 med kerne 6.17.0-23, RHEL 10.1 med kerne 6.12.0-124.49.1, openSUSE Tumbleweed med kerne 7.0.2-1, CentOS Stream 10 med kerne 6.12.0-224, AlmaLinux 10 med kerne 6.12.0-124.52.3 og Fedora 44 med kerne 6.19.14-300. <\/p>\n
Som ved s\u00e5rbarheden Copy Fail er problemerne i xfrm-ESP og RxRPC for\u00e5rsaget af udf\u00f8relsen af dataafkodning p\u00e5 stedet med brug af funktionen splice(), der overf\u00f8rer data mellem filbeskrivelser og kanaler (pipe) uden at kopiere, ved at overf\u00f8re referencer til elementer i sidecache. Forskyvningerne for skriveoperationen blev beregnet uden de n\u00f8dvendige kontroller, der tager h\u00f8jde for brugen af direkte referencer til elementer i sidecachen, hvilket gjorde det muligt at overskrive 4 bytes ved den valgte forskydning gennem afsendelse af speciellt udformede anmodninger og \u00e6ndre indholdet af en hvilken som helst fil i sidecache. <\/p>\n
Alle fil-l\u00e6seoperationer returnerer f\u00f8rst indholdet fra sidecachen. Hvis dataene \u00e6ndres i sidecachen, vil fil-l\u00e6seoperationerne returnere ikke realt lagrede oplysninger p\u00e5 enheden, men de \u00e6ndrede data. Udnyttelse af s\u00e5rbarheden g\u00e5r ud p\u00e5 at \u00e6ndre sidecachen for en eksekverbar fil med suid root-flaget. For eksempel, for at opn\u00e5 root-rettigheder kan man l\u00e6se den eksekverbare fil \/usr\/bin\/su for at f\u00e5 den ind i sidecachen, hvorefter man kan inds\u00e6tte sin egen kode i det indhold, der er blevet indl\u00e6st i sidecachen fra denne fil. Den efterf\u00f8lgende k\u00f8rsel af programmet \"su\" vil resultere i, at der i hukommelsen indl\u00e6ses ikke den originale eksekverbare fil fra lageren, men en \u00e6ndret kopi fra sidecachen. <\/p>\n
Offentligg\u00f8relsen af information om s\u00e5rbarhederne og den koordinerede frigivelse af opdateringer, der l\u00f8ser problemerne, var planlagt til den 12. maj, men p\u00e5 grund af informationsl\u00e6kage m\u00e5tte oplysningerne om s\u00e5rbarheden offentligg\u00f8res f\u00f8r frigivelsen af rettelserne. I slutningen af april blev der offentliggjort patches til rxrpc, ipsec og xfrm p\u00e5 den offentlige mailingliste netdev, uden at der blev n\u00e6vnt, at de relaterede til afhj\u00e6lpning af s\u00e5rbarheden. Den 5. maj accepterede maintaineren af IPsec-subsystemet en \u00e6ndring med den foresl\u00e5ede l\u00f8sning i xfrm-esp-modulet i git-repositoriet netdev, beskrivelsen af hvilken i h\u00f8j grad gentog beskrivelsen af problemet, der f\u00f8rte til s\u00e5rbarheden Copy Fail i algif_aead-modulet. En af sikkerhedsresearcherne blev interesseret i denne rettelse, form\u00e5ede at skabe et funktionelt exploit og offentliggjorde det uden at vide, at der var indf\u00f8rt et embargo mod offentligg\u00f8relse af oplysninger om problemet f\u00f8r den 12. maj. <\/p>\n