Das Unternehmen Qualys hat eine Sicherheitsanf\u00e4lligkeit (CVE-2025-6019) in der Bibliothek libblockdev entdeckt, die es durch Manipulation mit dem Hintergrundprozess udisks erm\u00f6glicht, root-Rechte im System zu erlangen. Der Prototyp eines Exploits wurde in Ubuntu, Debian, Fedora und openSUSE Leap 15 demonstriert. <\/p>\n
Der Prozess udisks wird in praktisch allen Linux-Distributionen verwendet und bietet eine D-Bus-Schnittstelle f\u00fcr die Durchf\u00fchrung von Operationen mit Speichermedien, wie z.B. dem Mounten und Formatieren. F\u00fcr die Durchf\u00fchrung von Aktionen mit Speichermedien ruft udisks Funktionen der Bibliothek libblockdev auf. Der Zugang zu udisks ist standardm\u00e4\u00dfig nur f\u00fcr Benutzer ge\u00f6ffnet, die im Kontext von «allow_active» arbeiten, d.h. die physikalischen Zugang zum Computer haben und sich \u00fcber die lokale Konsole oder einen grafischen Sitzung anmelden. Benutzer, die sich remote verbinden, z.B. \u00fcber SSH, fallen nicht in diesen Kontext und k\u00f6nnen die Schwachstelle nicht direkt ausnutzen. <\/p>\n
Um diese Einschr\u00e4nkung zu umgehen, kann ein Trick verwendet werden, der es erm\u00f6glicht, das Authentifizierungsniveau auf «allow_active» zu heben, indem man mit dem Starten eines Benutzerdienstes \u00fcber systemctl manipuliert, was polkitd als Hinweis auf eine lokale Sitzung interpretiert. Der Kern der Methode besteht darin, dass polkitd das Vorhandensein von physischem Zugang erkennt und das Niveau «allow_active» basierend auf indirekten Hinweisen zuweist, die beeinflusst werden k\u00f6nnen. Die Einschr\u00e4nkungen der Methode bestehen darin, dass polkitd einen aktiven Sitzung eines lokal zugreifenden Benutzers im System erfordert. <\/p>\n
Die zweite Methode, um die Berechtigungen «allow_active» zu erhalten, besteht darin, eine Schwachstelle (CVE-2025-6018) in PAM (Pluggable Authentication Modules) auszunutzen, die von den Forschern von Qualys w\u00e4hrend der Analyse einer Schwachstelle in libblockdev entdeckt wurde. Die Schwachstelle erm\u00f6glicht es jedem Benutzer, einschlie\u00dflich denjenigen, die sich \u00fcber SSH verbinden, Operationen im Kontext «allow_active» auszuf\u00fchren. Das Problem ist spezifisch f\u00fcr die PAM-Einstellungen in openSUSE Leap 15 und SUSE Linux Enterprise 15 und tritt nur in diesen Distributionen auf. <\/p>\n
Im Modul pam_env in openSUSE und SUSE ist standardm\u00e4\u00dfig das Lesen der Datei ~\/.pam_environment aktiviert. \u00dcber diese Datei kann der Benutzer die Umgebungsvariablen XDG_SEAT=seat0 und XDG_VTNR=1 festlegen, die bei der weiteren Verarbeitung als Zeichen f\u00fcr die physische Anwesenheit des Benutzers wahrgenommen werden, selbst wenn der Zugriff tats\u00e4chlich \u00fcber SSH erfolgt. Das Modul pam_env wird auch bei der Verbindung \u00fcber SSH in Debian 12 und Ubuntu 24.04 aufgerufen (in Debian 13 und Ubuntu 24.10+ ist es deaktiviert), aber die Festlegung der Umgebungsvariablen kann in diesen Distributionen nicht verwendet werden, um die Zugriffsrechte auf 'allow_active' zu erh\u00f6hen, da pam_env in der letzten Phase nach dem Laden des Moduls pam_systemd aufgerufen wird und die festgelegten Umgebungsvariablen keinen Einfluss auf die Sitzungseinstellungen haben k\u00f6nnen. <\/p>\n
Was die Schwachstelle in libblockdev betrifft, so kann ein Angreifer ein Abbild eines beliebigen Dateisystems im Loop-Modus einh\u00e4ngen, indem er in diesem Abbild eine ausf\u00fchrbare Datei mit dem SUID-Root-Flag oder ein spezielles Ger\u00e4t (\/dev\/mem) f\u00fcr den Low-Level-Zugriff auf Festplatten oder Speicher platziert. Um solche Angriffe zu verhindern, werden Dateisystemabbilder von der System mit den Flags nosuid und nodev eingeh\u00e4ngt, aber die Schwachstelle in libblockdev erm\u00f6glicht es, das Abbild ohne die Flags nosuid und nodev einzuh\u00e4ngen. Der Kern der Schwachstelle liegt darin, dass udisks einem Benutzer mit Zugriffsrechten 'allow_active' erlaubt, die Gr\u00f6\u00dfe seiner Dateisysteme zu \u00e4ndern, und libblockdev dabei w\u00e4hrend der Ausf\u00fchrung dieses Vorgangs tempor\u00e4r das Dateisystem ohne Setzen der nosuid- und nodev-Flags einbindet. <\/p>\n
Daher besteht der Angriff darin, ein Loop-Ger\u00e4t basierend auf einem XFS-Dateisystemabbild zu erstellen, in dem sich eine SUID-Root-Datei befindet, den Vorgang zur \u00c4nderung der Gr\u00f6\u00dfe des Loop-Ger\u00e4ts zu initiieren und den Moment zu verfolgen, in dem es in das Verzeichnis \/tmp\/blockdev* eingeh\u00e4ngt wird: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup \u2014file .\/xfs.image \u2014no-user-interaction Gemapptes Datei .\/xfs.image als \/dev\/loop0. victim> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call \u2014system \u2014dest org.freedesktop.UDisks2 \u2014object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 \u2014method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Fehler: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Fehler beim \u00c4ndern der Dateisystemgr\u00f6\u00dfe auf \/dev\/loop0: Ziel ist besch\u00e4ftigt -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) Gruppen=65534(nobody) <\/p>\n
Die Sicherheitsanf\u00e4lligkeit in libblockdev wurde bisher nur in Form von Patches behoben. Den Status der neuen Paketversion oder der Vorbereitung eines Fixes in den Distributionen kann man auf den folgenden Seiten \u00fcberpr\u00fcfen (wenn die Seite nicht verf\u00fcgbar ist, haben sich die Entwickler der Distribution noch nicht mit dem Problem befasst): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo und Arch (1, 2). Als Workaround zum Blockieren der Sicherheitsanf\u00e4lligkeit kann die Zugriffsregel f\u00fcr die Operation \u201eorg.freedesktop.udisks2.modify-device\u201c in polkit ge\u00e4ndert werden, indem im Dateipfad \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy der Wert des Parameters \u201eallow_active\u201c von \u201eyes\u201c auf \u201eauth_admin\u201c ge\u00e4ndert wird. <\/p>\n