GRO Frag — die siebte Verwundbarkeit der Klasse Copy Fail, die Root-Rechte in Linux gewährt

Ein Exploit für die siebte Verwundbarkeit (1, 2-3, 4, 5, 6) im Linux-Kernel ist öffentlich zugänglich, die es einem unprivilegierten lokalen Benutzer ermöglicht, Root-Rechte zu erhalten, indem er Daten im Seiten-Cache überschreibt. Die CVE-ID wurde noch nicht zugewiesen, außer dem Exploit-Code gibt es keine weiteren Informationen über das Problem. Ein Fix ist nur als Patch verfügbar, der am 20. Mai veröffentlicht wurde und am 21. Mai in den Hauptzweig des Linux-Kernels aufgenommen wurde (Korrekturausgaben des Kernels sind noch nicht verfügbar).

Die Verwundbarkeit ist in der Implementierung der Technologie GRO (Generic Receive Offload) vorhanden, die verwendet wird, um die Verarbeitung segmentierter Pakete zu beschleunigen. Die Verwundbarkeit wird durch einen Fehler in der Implementierung des Zerocopy-Mechanismus in der Funktion skb_gro_receive() verursacht, die eine direkte Änderung der Daten im Seiten-Cache vornimmt, um überflüssige Puffern zu vermeiden. Wenn das Flag SKBFL_MANAGED_FRAG_REFS gesetzt ist, wird das Speichern des Verweises auf die freigegebenen Speicherseiten im Feld shinfo->frags übersprungen, wonach dieses Feld ohne Änderung des Referenzzählers an ein anderes skb angehängt wird, was zu einem Zugriff auf den Speicher nach dessen Freigabe (use-after-free) führt. Die Problematik konnte ausgenutzt werden, um Daten im Seiten-Cache zu überschreiben, indem der Zeiger auf den io_uring-Puffer manipuliert wurde.

Ein Angriff ist auf Systemen mit aktivierter io_uring-Subsystem (io_uring_disabled=0) möglich. Um den Exploit auszuführen, muss in dem System eine lesbare ausführbare Datei mit dem SUID-Root-Flag verfügbar sein. Der Exploit-Mechanismus besteht darin, dass der Angreifer erreicht, dass die Benutzerbasis im Seiten-Cache verbleibt, danach das zusätzliche Eintrag „hax::0:0::/root:/bin/sh“ in den Cache einspeist. Danach wird der Befehl „su hax“ ausgeführt, der nicht die originale Benutzerbasis von dem Speichermedium erhält, sondern eine veränderte Kopie mit dem fiktiven Login „hax“, dem Root-Rechte und ein leeres Passwort zugeteilt wurden. Der Betrieb des Exploits wurde in Ubuntu 24.04 getestet.

Quelle: opennet.ru