Im Linux-Kernel wurden zwei Schwachstellen entdeckt, die im Wesentlichen Analogien zur vor einigen Tagen aufgedeckten Copy Fail-Schwachstelle darstellen, aber in anderen Subsystemen auftreten \u2014 xfrm-ESP und RxRPC. Den Schwachstellen wurde der Codename Dirty Frag zugewiesen (auch die Bezeichnung Copy Fail 2 findet sich). Diese Schwachstellen erm\u00f6glichen es einem nicht privilegierten Benutzer, Root-Rechte zu erlangen, indem er die Daten eines Prozesses im Seitencache \u00fcberschreibt. Ein Exploit, der in allen aktuellen Linux-Distributionen funktioniert, ist verf\u00fcgbar. Informationen \u00fcber die Schwachstelle wurden vor der Ver\u00f6ffentlichung von Patches offengelegt, aber es gibt eine Umgehungsmethode, um das Problem zu blockieren. <\/p>\n
Dirty Frag umfasst zwei verschiedene Schwachstellen: die erste im xfrm-ESP-Modul, das zur Beschleunigung von Verschl\u00fcsselungsoperationen in IPsec mittels des ESP-Protokolls (Encapsulating Security Payload) verwendet wird, und die zweite im RxRPC-Treiber, der die Socket-Familie AF_RXRPC und das gleichnamige RPC-Protokoll implementiert, das \u00fcber UDP arbeitet. Jede der Schwachstellen erm\u00f6glicht es separat, Root-Rechte zu erlangen. Die Schwachstelle im xfrm-ESP besteht seit Januar 2017 im Linux-Kernel, w\u00e4hrend die Schwachstelle im RxRPC seit Juni 2023 besteht. Beide Probleme wurden durch Optimierungen verursacht, die eine direkte Schreiboperation im Seitencache zulassen. <\/p>\n
Um die Schwachstelle in xfrm-ESP auszunutzen, muss der Benutzer die Berechtigung zur Erstellung von Namensr\u00e4umen haben, w\u00e4hrend f\u00fcr die Ausnutzung der Schwachstelle im RxRPC die M\u00f6glichkeit bestehen muss, das Kernel-Modul rxrpc.ko zu laden. In Ubuntu beispielsweise ist es in den AppArmor-Regeln einem nicht privilegierten Benutzer untersagt, Namensr\u00e4ume zu erstellen, aber das Modul rxrpc.ko wird standardm\u00e4\u00dfig geladen. In einigen Distributionen fehlt das Modul rxrpc.ko, jedoch wird die Erstellung von Namensr\u00e4umen nicht blockiert. Der Entdecker des Problems hat einen kombinierten Exploit vorbereitet, der in der Lage ist, das System \u00fcber beide Schwachstellen anzugreifen, was eine Ausnutzung des Problems in allen gro\u00dfen Distributionen erm\u00f6glicht. Die Funktionsf\u00e4higkeit des Exploits wurde in Ubuntu 24.04.4 mit dem Kernel 6.17.0-23, RHEL 10.1 mit dem Kernel 6.12.0-124.49.1, openSUSE Tumbleweed mit dem Kernel 7.0.2-1, CentOS Stream 10 mit dem Kernel 6.12.0-224, AlmaLinux 10 mit dem Kernel 6.12.0-124.52.3 und Fedora 44 mit dem Kernel 6.19.14-300 best\u00e4tigt. <\/p>\n
Wie im Fall der Schwachstelle Copy Fail wurden die Probleme in xfrm-ESP und RxRPC durch die Durchf\u00fchrung der Datenentschl\u00fcsselung vor Ort mit der Funktion splice() verursacht, die Daten zwischen Dateideskriptoren und Pipes \u00fcbergibt, ohne sie zu kopieren, indem sie Verweise auf Elemente im Seitencache \u00fcbertr\u00e4gt. Die Offsets f\u00fcr die Schreiboperationen wurden ohne angemessene Pr\u00fcfungen berechnet, die die Verwendung direkter Verweise auf Elemente im Seitencache ber\u00fccksichtigen, was es erm\u00f6glichte, durch das Senden speziell gestalteter Anfragen 4 Bytes an der gew\u00e4hlten Offset-Adresse zu \u00fcberschreiben und den Inhalt einer beliebigen Datei, die sich im Seitencache befindet, zu \u00e4ndern. <\/p>\n
Alle Lesevorg\u00e4nge von Dateien geben zun\u00e4chst den Inhalt aus dem Seitencache zur\u00fcck. Wenn die Daten im Seitencache ge\u00e4ndert werden, f\u00fchren Leseoperationen von Dateien dazu, dass nicht tats\u00e4chlich auf dem Speicher gespeicherte Informationen, sondern gef\u00e4lschte Daten zur\u00fcckgegeben werden. Die Ausnutzung der Schwachstelle besteht darin, den Seitencache f\u00fcr eine ausf\u00fchrbare Datei mit dem SUID-Flag root zu \u00e4ndern. Zum Beispiel kann man f\u00fcr den Erhalt von Root-Rechten die ausf\u00fchrbare Datei \/usr\/bin\/su lesen, um diese in den Seitencache zu laden, wonach man seinen eigenen Code in den im Seitencache geladenen Inhalt dieser Datei injecten kann. Der anschlie\u00dfende Start des Tools \u201esu\u201c f\u00fchrt dazu, dass nicht die originale ausf\u00fchrbare Datei vom Speicher, sondern eine ge\u00e4nderte Kopie aus dem Seitencache in den Speicher geladen wird. <\/p>\n
Die Offenlegung von Informationen \u00fcber Schwachstellen und die koordinierte Ver\u00f6ffentlichung von Updates zur Behebung der Probleme war f\u00fcr den 12. Mai geplant, doch aufgrund der Informationsleckage mussten die Informationen \u00fcber die Schwachstelle vor der Ver\u00f6ffentlichung der Korrekturen ver\u00f6ffentlicht werden. Ende April wurden in der \u00f6ffentlichen Mailingliste netdev Patches f\u00fcr rxrpc, ipsec und xfrm ver\u00f6ffentlicht, ohne zu erw\u00e4hnen, dass sie mit der Behebung der Schwachstelle in Verbindung stehen. Am 5. Mai nahm der Maintainer des IPsec-Subsystems die \u00c4nderung mit dem vorgeschlagenen Fix im Modul xfrm-esp in das Git-Repository netdev auf, dessen Beschreibung weitgehend die Schwierigkeiten wiederholte, die zur Copy Fail-Schwachstelle im Modul algif_aead f\u00fchrten. Ein Sicherheitsforscher wurde auf diesen Fix aufmerksam, schaffte es, einen funktionierenden Exploit zu erstellen und ver\u00f6ffentlichte ihn, ohne zu wissen, dass eine Embargofrist bis zum 12. Mai f\u00fcr die Offenlegung der Problemdaten eingef\u00fchrt worden war. <\/p>\n