GRO Frag — die siebte Schwachstelle der Klasse Copy Fail, die Root-Rechte in Linux gewährt.

Ein Exploit für die siebte Schwachstelle (1, 2-3, 4, 5, 6) im Linux-Kernel wurde öffentlich verbreitet. Diese Schwachstelle ermöglicht es einem nicht privilegierten lokalen Benutzer, Root-Rechte zu erlangen, indem er Daten im Page-Cache überschreibt. Es wurde noch keine CVE-Identifikationsnummer zugewiesen, und es liegen bisher nur der Exploit-Code und keine weiteren Informationen zu dem Problem vor. Ein Patch zur Behebung des Problems wurde am 20. Mai veröffentlicht und am 21. Mai in den Hauptzweig des Linux-Kernels aufgenommen (Korrigierte Kernel-Versionen sind noch nicht verfügbar).

Die Schwachstelle betrifft die Implementierung der Technologie GRO (Generic Receive Offload), die zur Beschleunigung der Verarbeitung von segmentierten Paketen eingesetzt wird. Die Schwachstelle wird durch einen Fehler in der Implementierung des Zerocopy-Mechanismus in der Funktion skb_gro_receive() verursacht, die direkte Datenänderungen im Seiten-Cache vornimmt, um überflüssige Pufferung zu vermeiden. Bei aktivierter Flagge SKBFL_MANAGED_FRAG_REFS wurde das Speichern des Verweises auf die freigegebenen Speicherseiten im Feld shinfo->frags übersprungen, wonach dieses Feld ohne Änderung des Referenzzählers an ein anderes skb angefügt wurde. Dies führte zu einem Zugriff auf den Speicher nach dessen Freigabe (use-after-free). Das Problem konnte ausgenutzt werden, um Daten im Seiten-Cache durch Manipulation des Zeigers auf den io_uring-Puffer zu überschreiben.

Ein Angriff ist auf Systeme mit aktivierter io_uring-Unterstützung (io_uring_disabled=0) möglich. Um den Exploit auszuführen, muss eine lesbare ausführbare Datei mit dem SUID-root-Flag im System vorhanden sein. Der Exploit-Mechanismus besteht darin, dass der Angreifer die Benutzerbasis im Seiten-Cache ablegt und daraufhin den Cache mit der Zeichenkette „hax::0:0::/root:/bin/sh“ manipuliert. Anschließend wird der Befehl „su hax“ ausgeführt, der nicht die originale Benutzerbasis vom Speicher, sondern eine modifizierte Kopie mit dem gefälschten Login „hax“ erhält, dem Root-Rechte und ein leeres Passwort zugewiesen wurden. Der Exploit wurde in Ubuntu 24.04 getestet.

Quelle: opennet.ru