Die Firma Qualys hat zwei Schwachstellen in den Werkzeugen apport (CVE-2025-5054) und systemd-coredump (CVE-2025-4598) festgestellt, die zur Verarbeitung von Core-Dumps eingesetzt werden, die nach dem Absturz von Prozessen erzeugt werden. Die Schwachstellen erm\u00f6glichen den Zugriff auf Core-Dumps, die nach dem Absturz von SUID-Anwendungen oder bestimmten systemweiten Hintergrundprozessen gespeichert wurden, in deren Speicher m\u00f6glicherweise zwischengespeicherte Anmeldedaten oder Verschl\u00fcsselungsschl\u00fcssel enthalten sind. Das Tool apport wird automatisch aufgerufen, um Core-Dumps in Ubuntu zu speichern, w\u00e4hrend systemd-coredump in Red Hat Enterprise Linux 9+, Fedora und vielen anderen Linux-Distributionen verwendet wird. <\/p>\n
Eine Angriffstechnik wurde demonstriert, bei der Bedingungen f\u00fcr den Absturz der SUID-Anwendung unix_chkpwd geschaffen wurden, um Zugriff auf den Core-Dump mit dem Zustand w\u00e4hrend des Absturzes zu erhalten. Im gespeicherten Core-Dump waren Hashes der Benutzerpassw\u00f6rter des Systems enthalten, die im Speicher des abgest\u00fcrzten Prozesses verblieben, nachdem der Inhalt von \/etc\/shadow geladen wurde. Die M\u00f6glichkeit der Ausnutzung der Schwachstellen wurde in Ubuntu 24.04 und Fedora 40\/41 demonstriert, es wird jedoch angenommen, dass auch andere Distributionen f\u00fcr \u00e4hnliche Angriffe anf\u00e4llig sind. <\/p>\n
Beide Schwachstellen werden durch einen Race Condition verursacht, der es erm\u00f6glicht, einen abgest\u00fcrzten SUID-Prozess durch einen anderen Prozess zu ersetzen, genau nachdem das Kernel mit der Behandlung des Absturzes begonnen hat, jedoch bevor der Handler die Prozessparameter \u00fcber \/proc\/pid\/files im Benutzermodus \u00fcberpr\u00fcft. Der Aufruf von apport und systemd-coredump erfolgt wie folgt: Das Kernel erh\u00e4lt Informationen \u00fcber den Absturz des Prozesses und ruft den im Datei \/proc\/sys\/kernel\/core_pattern angegebenen Handler auf, nachdem es ihm den Inhalt des Core-Dumps \u00fcber den Eingabestrom \u00fcbertr\u00e4gt. <\/p>\n
Die Generierung des Core-Dumps und der Aufruf des Handlers erfolgt nicht sofort und es gibt gen\u00fcgend Zeit, um den abgest\u00fcrzten SUID-Prozess durch einen normalen Benutzerprozess zu ersetzen. Im Falle einer Ersetzung wird der gestartete Handler f\u00fcr Core-Dumps annehmen, dass der Absturz nicht im SUID-Prozess, sondern in einer regul\u00e4ren Benutzeranwendung aufgetreten ist und wird dementsprechend die Core-Datei mit Zugangsm\u00f6glichkeiten f\u00fcr den normalen Benutzer speichern, anstatt nur f\u00fcr den Administrator. <\/p>\n
Der Angriff auf apport umfasst folgende Schritte: <\/p>\n
Um f\u00fcr den neuen Prozess die ben\u00f6tigte ID zu erhalten, die mit der ID des suid-Prozesses \u00fcbereinstimmt, wird der suid-Prozess vor dem Senden des SIGSEGV-Signals mit SIGSTOP angehalten, und w\u00e4hrend dieser Zeit werden zyklisch neue Prozesse gestartet, bis eine PID mit einer vorhergehenden Nummer, die nahe der ersetzbaren suid-Process liegt, erhalten wird. Nach der Verschiebung der PID-Nummer werden dem suid-Prozess die Signale SIGSEGV und SIGCONT gesendet, danach wird SIGKILL gesendet und zyklisch neue Prozesse gestartet, um die gleiche PID wie der suid-Prozess zu erreichen. <\/p>\n
Was systemd-coredump betrifft, so ist es einerseits einfacher, einen Angriff darauf durchzuf\u00fchren, da es nicht erforderlich ist, einen Suid-Prozess durch einen Prozess in einem separaten Benutzerspeicher zu ersetzen, und es ausreicht, eine \u00dcbereinstimmung von AT_UID und AT_EUID zu erreichen. Andererseits ist systemd-coredump in C geschrieben und startet relativ schnell, was weniger Zeit f\u00fcr eine Manipulation bietet, im Gegensatz zu apport, das in Python geschrieben ist und w\u00e4hrend der Initialisierung verschiedene pyc-Dateien l\u00e4dt. Ein \u00e4hnliches Problem kann durch k\u00fcnstliche Verz\u00f6gerung von systemd-coredump gel\u00f6st werden \u2013 beim Aufruf der Suid-Datei werden viele Argumente in der Befehlszeile \u00fcbergeben, was die erforderliche Verz\u00f6gerung beim Parsen von \/proc\/pid\/cmdline erzeugt. <\/p>\n
W\u00e4hrend der Analyse von Schwachstellen haben Forscher au\u00dferdem festgestellt, dass systemd-coredump bei der Konfiguration des Aufrufs das Flag '%d' in \/proc\/sys\/kernel\/core_pattern nicht angibt, was es einem Angreifer erm\u00f6glicht, einen Absturz von Hintergrundprozessen auszul\u00f6sen, die mit Root-Rechten ausgef\u00fchrt werden und andere Prozesse mit einer \u00c4nderung der Benutzer-ID auf einen nicht privilegierten Benutzer, unter dem der Angriff erfolgt, abzuleiten. Diese M\u00f6glichkeit erlaubt nicht nur einen Angriff auf setuid-Anwendungen, sondern auch auf Prozesse wie sshd-session (OpenSSH), sd-pam (systemd) und cron, um vertrauliche Daten, die in deren Speicher gespeichert sind, wie private Schl\u00fcssel, Passwort-Hashes aus \/etc\/shadow, Canary-Tags aus dem Stack und Informationen zur Umgehung der Address Space Layout Randomization (ASLR), zu erhalten. <\/p>\n