Se han identificado dos vulnerabilidades en el n\u00facleo de Linux que son esencialmente similares a la vulnerabilidad Copy Fail, que fue revelada hace unos d\u00edas, pero se manifiestan en otros subsistemas: xfrm-ESP y RxRPC. A estas series de vulnerabilidades se les ha asignado el nombre en clave Dirty Frag (tambi\u00e9n se menciona Copy Fail 2). Las vulnerabilidades permiten que un usuario no privilegiado obtenga derechos de root al sobrescribir los datos del proceso en la cach\u00e9 de p\u00e1ginas. Ya hay un exploit disponible que funciona en todas las distribuciones de Linux actuales. La informaci\u00f3n sobre la vulnerabilidad se ha revelado antes de la publicaci\u00f3n de las correcciones, pero existe un m\u00e9todo de mitigaci\u00f3n para bloquear el problema. <\/p>\n
Dirty Frag abarca dos vulnerabilidades diferentes: la primera en el m\u00f3dulo xfrm-ESP, que se utiliza para acelerar las operaciones de cifrado en IPsec mediante el protocolo ESP (Encapsulating Security Payload), y la segunda en el controlador RxRPC, que implementa la familia de sockets AF_RXRPC y el protocolo RPC del mismo nombre que funciona sobre UDP. Cada una de las vulnerabilidades por separado permite obtener derechos de root. La vulnerabilidad en xfrm-ESP se manifiesta en el n\u00facleo de Linux desde enero de 2017, y la vulnerabilidad en RxRPC desde junio de 2023. Ambos problemas son causados por optimizaciones que admiten la escritura directa en la cach\u00e9 de p\u00e1ginas. <\/p>\n
Para explotar la vulnerabilidad en xfrm-ESP, el usuario debe tener permisos para crear espacios de nombres, y para explotar la vulnerabilidad en RxRPC, debe tener la capacidad de cargar el m\u00f3dulo del n\u00facleo rxrpc.ko. Por ejemplo, en Ubuntu, las reglas de AppArmor proh\u00edben a un usuario sin privilegios crear espacios de nombres, pero por defecto se carga el m\u00f3dulo rxrpc.ko. En algunas distribuciones, el m\u00f3dulo rxrpc.ko est\u00e1 ausente, pero no se bloquea la creaci\u00f3n de espacios de nombres. El investigador que descubri\u00f3 el problema ha preparado un exploit combinado que puede atacar el sistema a trav\u00e9s de ambas vulnerabilidades, lo que permite explotar el problema en todas las principales distribuciones. El funcionamiento del exploit ha sido confirmado en Ubuntu 24.04.4 con n\u00facleo 6.17.0-23, RHEL 10.1 con n\u00facleo 6.12.0-124.49.1, openSUSE Tumbleweed con n\u00facleo 7.0.2-1, CentOS Stream 10 con n\u00facleo 6.12.0-224, AlmaLinux 10 con n\u00facleo 6.12.0-124.52.3 y Fedora 44 con n\u00facleo 6.19.14-300. <\/p>\n
Al igual que con la vulnerabilidad Copy Fail, los problemas en xfrm-ESP y RxRPC son causados por la ejecuci\u00f3n de la descifrado de datos en el lugar utilizando la funci\u00f3n splice(), que transfiere datos entre descriptores de archivos y tuber\u00edas (pipe) sin copiar, mediante la transmisi\u00f3n de referencias a elementos en la cach\u00e9 de p\u00e1gina. Los desplazamientos para la operaci\u00f3n de escritura se calcularon sin las debidas verificaciones, teniendo en cuenta el uso de referencias directas a elementos en la cach\u00e9 de p\u00e1gina, lo que permit\u00eda, mediante el env\u00edo de solicitudes especialmente formateadas, sobrescribir 4 bytes en el desplazamiento elegido y cambiar el contenido de cualquier archivo en la cach\u00e9 de p\u00e1gina. <\/p>\n
Todas las operaciones de lectura desde archivos inicialmente devuelven el contenido de la cach\u00e9 de p\u00e1ginas. En caso de modificar datos en la cach\u00e9 de p\u00e1ginas, las operaciones de lectura de archivos devolver\u00e1n informaci\u00f3n que no est\u00e1 realmente almacenada en el dispositivo, sino datos manipulados. La explotaci\u00f3n de la vulnerabilidad se basa en modificar la cach\u00e9 de p\u00e1ginas para un archivo ejecutable con el flag suid root. Por ejemplo, para obtener derechos de root, se puede leer el archivo ejecutable \/usr\/bin\/su para colocarlo en la cach\u00e9 de p\u00e1ginas, tras lo cual se puede lograr que su c\u00f3digo se reemplace en el contenido de este archivo cargado en la cach\u00e9 de p\u00e1ginas. La posterior ejecuci\u00f3n de la utilidad 'su' resultar\u00e1 en que se cargue en memoria no el archivo ejecutable original desde el dispositivo, sino una copia modificada desde la cach\u00e9 de p\u00e1ginas. <\/p>\n
La divulgaci\u00f3n de informaci\u00f3n sobre vulnerabilidades y el lanzamiento coordinado de actualizaciones para resolver los problemas estaba programado para el 12 de mayo, pero debido a la filtraci\u00f3n de informaci\u00f3n, los detalles sobre la vulnerabilidad tuvieron que publicarse antes de la publicaci\u00f3n de las correcciones. A finales de abril, se publicaron parches para rxrpc, ipsec y xfrm en la lista de correo p\u00fablica netdev, sin mencionar que estaban relacionados con la correcci\u00f3n de la vulnerabilidad. El 5 de mayo, el mantenedor del subsistema IPsec acept\u00f3 en el repositorio git de netdev un cambio con la soluci\u00f3n propuesta en el m\u00f3dulo xfrm-esp, cuya descripci\u00f3n repet\u00eda en gran medida la descripci\u00f3n del problema que condujo a la vulnerabilidad Copy Fail en el m\u00f3dulo algif_aead. Uno de los investigadores de seguridad se interes\u00f3 por esta correcci\u00f3n, logr\u00f3 crear un exploit funcional y lo public\u00f3, sin saber que hab\u00eda un embargo sobre la divulgaci\u00f3n de informaci\u00f3n sobre el problema antes del 12 de mayo. <\/p>\n