{"id":172753,"date":"2026-05-19T18:24:36","date_gmt":"2026-05-19T16:24:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pintheft-shestaya-uyazvimost-klassa-copy-fail-predostavlyayushhaya-prava-root-v-linux"},"modified":"2026-05-19T18:24:36","modified_gmt":"2026-05-19T16:24:36","slug":"pintheft-shestaya-uyazvimost-klassa-copy-fail-predostavlyayushhaya-prava-root-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/pintheft-shestaya-uyazvimost-klassa-copy-fail-predostavlyayushhaya-prava-root-v-linux","title":{"rendered":"PinTheft \u2014 die sechste Schwachstelle der Kategorie Copy Fail, die Root-Rechte in Linux gew\u00e4hrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Information \u00fcber die sechste Schwachstelle (1, 2-3, 4, 5) wurde ver\u00f6ffentlicht, die es einem nicht privilegierten lokalen Benutzer erm\u00f6glicht, Root-Rechte zu erhalten, indem Daten im Seiten-Cache \u00fcberschrieben werden. Diese Schwachstelle tr\u00e4gt den Codenamen PinTheft. Ein Exploit-Prototyp ist verf\u00fcgbar. Eine CVE-Identifikation wurde noch nicht zugewiesen. Ein Fix ist bisher nur als Patch verf\u00fcgbar, der am 5. Mai ver\u00f6ffentlicht und am 11. Mai in den netdev-Zweig aufgenommen wurde, jedoch noch nicht in die Korrekturversionen des Kernels integriert ist. <\/p>\n
Die Schwachstelle ist in der Implementierung des Netzwerkprotokolls RDS (Reliable Datagram Sockets) vorhanden, das f\u00fcr den Hochgeschwindigkeitsnachrichtenaustausch zwischen Knoten in einem Cluster mit minimaler Verz\u00f6gerung und garantierter Zustellung konzipiert ist. Ein Angriff ist m\u00f6glich auf Systemen mit aktivierter io_uring-Unterst\u00fctzung (io_uring_disabled=0) und einem Kernel, der mit den Optionen CONFIG_RDS, CONFIG_RDS_TCP und CONFIG_IO_URING kompiliert wurde. Damit der Exploit funktioniert, muss in dem System eine lesbare ausf\u00fchrbare Datei mit SUID-root-Flag vorhanden sein. <\/p>\n
Um das rds_tcp Kernel-Modul automatisch zu laden, fordert der Exploit die \u00dcbertragung von Daten \u00fcber RDS mit dem Transport SO_RDS_TRANSPORT=2 an. Es wird bemerkt, dass unter den getesteten Linux-Distributionen das rds Kernel-Modul in der Standardkonfiguration nur in Arch Linux bereitgestellt wird. Um die Schwachstelle zu umgehen, kann das automatische Laden der Kernel-Module rds und rds_tcp blockiert werden: rmmod rds_tcp rds printf 'install rds \/bin\/false\ninstall rds_tcp \/bin\/false\n' > \/etc\/modprobe.d\/pintheft.conf <\/p>\n
Die Schwachstelle wird durch einen Fehler in der Implementierung des Zerocopy-Mechanismus in der Funktion rds_message_zcopy_from_user() verursacht, der eine direkte \u00c4nderung der Daten im Seiten-Cache vornimmt, um \u00fcberfl\u00fcssige Pufferung zu vermeiden. Im Falle eines Fehlers wurde das Feld rm->data.op_nents nicht bereinigt, was zu einer doppelten Freigabe des Puffers (double-free) f\u00fchrte. Das Auftreten eines ung\u00fcltigen Wertes im Referenzz\u00e4hler konnte ausgenutzt werden, um Daten im Seiten-Cache zu \u00fcberschreiben, indem der Zeiger auf einen festen io_uring-Puffer manipuliert wurde. <\/p>\n
Ansonsten ist der Exploit-Mechanismus typisch f\u00fcr alle Schwachstellen dieser Klasse \u2014 der Angreifer erreicht das Ablagern einer Programmdatei mit dem SUID-Root-Flag im Seitencache, wonach er im ELF-Header den Code zum Starten von \/usr\/bin\/sh einf\u00fcgt. Nach dieser Manipulation f\u00fchrt der Start des Programms dazu, dass nicht die originale ausf\u00fchrbare Datei vom Speichermedium, sondern eine modifizierte Kopie aus dem Seitencache in den Speicher geladen wird. Im Gegensatz zu fr\u00fcheren Exploits ist die neue Variante ausschlie\u00dflich f\u00fcr den Angriff auf das Dienstprogramm \u201esu\u201c angepasst, kann jedoch auch bei Vorhandensein solcher SUID-Programme im System wie mount, passwd, chsh, newgrp, umount und pkexec verwendet werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"