Im Linux-Kernel wurden zwei Schwachstellen identifiziert, die im Wesentlichen der vor einigen Tagen enth\u00fcllten Schwachstelle Copy Fail \u00e4hneln, sich jedoch in anderen Subsystemen manifestieren \u2014 xfrm-ESP und RxRPC. Den Schwachstellen wurde der Codename Dirty Frag zugewiesen (es gibt auch Erw\u00e4hnungen von Copy Fail 2). Diese Schwachstellen erm\u00f6glichen es einem unprivilegierten Benutzer, Root-Rechte zu erlangen, indem er Daten eines Prozesses im Seitencache \u00fcberschreibt. Ein Exploit steht zur Verf\u00fcgung, der in allen aktuellen Linux-Distributionen funktioniert. Informationen zu den Schwachstellen wurden vor der Ver\u00f6ffentlichung von Korrekturen preisgegeben, es gibt jedoch einen Umgehungsmechanismus zur Behebung des Problems. <\/p>\n
Dirty Frag umfasst zwei verschiedene Schwachstellen: Die erste befindet sich im xfrm-ESP-Modul, das zur Beschleunigung von Verschl\u00fcsselungsoperationen in IPsec mit dem ESP-Protokoll (Encapsulating Security Payload) verwendet wird, die zweite im RxRPC-Treiber, der die Socket-Familie AF_RXRPC und das gleichnamige RPC-Protokoll implementiert, das \u00fcber UDP arbeitet. Jede der Schwachstellen erm\u00f6glicht es, Root-Rechte zu erlangen. Die Schwachstelle in xfrm-ESP ist seit Januar 2017 im Linux-Kernel vorhanden, w\u00e4hrend die Schwachstelle in RxRPC seit Juni 2023 aktiv ist. Beide Probleme resultieren aus Optimierungen, die direkte Schreibzugriffe in den Seitencache zulassen. <\/p>\n
Um die Schwachstelle in xfrm-ESP auszunutzen, muss der Benutzer \u00fcber die Berechtigung zur Erstellung von Namensr\u00e4umen verf\u00fcgen, und um die Schwachstelle in RxRPC auszunutzen, ist die M\u00f6glichkeit erforderlich, das Kernelmodul rxrpc.ko zu laden. Beispielsweise ist in Ubuntu gem\u00e4\u00df den AppArmor-Richtlinien das Erstellen von Namensr\u00e4umen f\u00fcr nicht privilegierte Benutzer nicht gestattet, das Modul rxrpc.ko wird jedoch standardm\u00e4\u00dfig geladen. In einigen Distributionen fehlt das Modul rxrpc.ko, das Erstellen von Namensr\u00e4umen wird jedoch nicht blockiert. Der Forscher, der das Problem entdeckt hat, hat einen kombinierten Exploit vorbereitet, der in der Lage ist, das System \u00fcber beide Schwachstellen anzugreifen, wodurch das Problem in allen gro\u00dfen Distributionen ausgenutzt werden kann. Die Funktionalit\u00e4t des Exploits wurde in Ubuntu 24.04.4 mit Kernel 6.17.0-23, RHEL 10.1 mit Kernel 6.12.0-124.49.1, openSUSE Tumbleweed mit Kernel 7.0.2-1, CentOS Stream 10 mit Kernel 6.12.0-224, AlmaLinux 10 mit Kernel 6.12.0-124.52.3 und Fedora 44 mit Kernel 6.19.14-300 best\u00e4tigt. <\/p>\n
Wie bei der Copy Fail-Schwachstelle wurden die Probleme in xfrm-ESP und RxRPC durch die Dekodierung von Daten im Speicher mittels der Funktion splice() verursacht, die Daten zwischen Dateideskriptoren und Pipes \u00fcbertr\u00e4gt, ohne sie zu kopieren, indem sie Referenzen auf Elemente im Seitencache weitergibt. Die Offsets f\u00fcr die Schreiboperation wurden ohne die erforderlichen \u00dcberpr\u00fcfungen berechnet, die die Verwendung direkter Referenzen auf die Elemente im Seitencache ber\u00fccksichtigen, was es erm\u00f6glichte, durch das Senden speziell gestalteter Anfragen 4 Bytes an der gew\u00e4hlten Offsetposition zu \u00fcberschreiben und den Inhalt einer beliebigen Datei im Seitencache zu ver\u00e4ndern. <\/p>\n
Alle Lesevorg\u00e4nge von Dateien geben zun\u00e4chst den Inhalt aus dem Seiten-Cache zur\u00fcck. Bei \u00c4nderungen an den Daten im Seiten-Cache f\u00fchren Lesevorg\u00e4nge von Dateien dazu, dass nicht die tats\u00e4chlich auf dem Speicher gespeicherten Informationen, sondern modifizierte Daten zur\u00fcckgegeben werden. Die Ausnutzung der Schwachstelle erfolgt durch die \u00c4nderung des Seiten-Caches f\u00fcr die ausf\u00fchrbare Datei mit dem suid root-Flag. Zum Beispiel kann man das root-Recht erlangen, indem man die ausf\u00fchrbare Datei \/usr\/bin\/su liest, um sie im Seiten-Cache zu speichern, und dann seinen eigenen Code in den geladenen Inhalt dieser Datei im Seiten-Cache einf\u00fcgt. Der anschlie\u00dfende Start des Dienstprogramms \u201esu\u201c f\u00fchrt dazu, dass nicht die originale ausf\u00fchrbare Datei vom Speicher, sondern eine modifizierte Kopie aus dem Seiten-Cache in den Speicher geladen wird. <\/p>\n
Die Offenlegung von Schwachstellen und die koordinierte Ver\u00f6ffentlichung von Probleml\u00f6sungsupdates waren f\u00fcr den 12. Mai geplant, jedoch musste aufgrund eines Informationslecks die Schwachstelle vor der Ver\u00f6ffentlichung der Korrekturen ver\u00f6ffentlicht werden. Ende April wurden im \u00f6ffentlichen Mailinglisten-Archiv von netdev Patches f\u00fcr rxrpc, ipsec und xfrm ver\u00f6ffentlicht, ohne zu erw\u00e4hnen, dass sie mit der Behebung der Schwachstelle in Verbindung standen. Am 5. Mai nahm der Maintainer des IPsec-Subsystems eine \u00c4nderung des vorgeschlagenen Fixes im Modul xfrm-esp in das Git-Repository von netdev auf; die Beschreibung \u00e4hnelte stark der Beschreibung des Problems, das zur Schwachstelle Copy Fail im Modul algif_aead f\u00fchrte. Ein Sicherheitsforscher interessierte sich f\u00fcr diesen Fix, konnte einen funktionierenden Exploit erstellen und ver\u00f6ffentlichte ihn, ohne zu wissen, dass es ein Embargo auf die Offenlegung der Informationen bis zum 12. Mai gab. <\/p>\n