Es wurde die Möglichkeit demonstriert, einen funktionierenden Exploit für die Schwachstelle CVE-2025-21756 zu erstellen, die durch einen Fehler im Linux-Kernel verursacht wird, der zu einem Zugriff auf bereits freigegebene Speicherbereiche führt. Das Problem betrifft die Implementierung von Sockets mit AF_VSOCK-Adressierung, die für die Netzwerkinteraktion zwischen Gastbetriebssystemen und Hosts gedacht ist. Der veröffentlichte Exploit ermöglicht die Ausführung von Code mit Root-Rechten auf Systemen mit dem Linux-Kernel 6.6.75 (für andere Versionen ist eine Anpassung des Exploits erforderlich).
Das Problem wurde im Linux-Kernel 6.14 und in den Februar- und März-Updates der stabilen Zweige behoben, wie z. B. 6.12.16, 6.6.79 und 6.1.131. Die Schwachstelle wurde auch in den Kernel-Paketen für RHEL, SUSE/openSUSE sowie Ubuntu und Debian 12 behoben, bleibt jedoch in Debian 11 ungepatcht.
Die Schwachstelle hängt damit zusammen, dass beim Neuzuordnen des Transports für den AF_VSOCK-Socket die Funktion vsock_remove_sock aufgerufen wird, die wiederum die Funktion vsock_remove_bound aufruft, welche den Referenzzähler des vsock-Objekts inkorrekt verringert. Dadurch wird der Referenzzähler null und der Kernel gibt den für das Objekt zugewiesenen Speicher frei, obwohl dieser weiterhin verwendet wird.
Quelle: opennet.ru
