Linuxi pidfd alamsüsteemis tuvastatud haavatavus, mis võimaldab lugeda kasutajale kätte saamatuid faile

Linuxi tuumas on viimase kahe nädala jooksul tuvastatud viies (1, 2, 3) kriitiline haavatavus, mis võimaldab kasutajal oma süsteemis õigusi kasvatada. Avaldatud on kaks töötavat eksploidijat: sshkeysign_pwn annab ebapiisavalt õigustatud kasutajale võimaluse lugeda suletud hosti SSH-võtmete sisu /etc/ssh/ssh_host_*_key, ja chage_pwn — lugeda /etc/shadow faili, kus on kasutajate paroolide hashid.

Haavatavuse teave ei olnud kavandatud avalikustamiseks, kuid üks turva-uuringute tegija suutis läbi tuuma paketi ettepaneku tuvastada haavatavuse olemust, mis võimaldab lugeda ainult root-kasutajale juurdepääsetavaid faile, nagu /etc/shadow. Tuuma lisatud muudatuses muudeti olemasoleva get_dumpable() funktsiooni loogikat ptrace funktsioonis, kui määrati juurdepääsu taset funktsioonis ptrace_may_access().

Haavatavus tuleneb võistlusest, mis võimaldab privileegideta juurdepääsu faili descriptorile pidfd pärast faili avanemist suid root protsessist. Ajal, mil fail avatakse ja privileegid tühistatakse suid-programmis (näiteks läbi funktsiooni setreuid), tekib olukord, kus rakendus, mis käivitas suid root programmi, võib descriptor'i pidfd kaudu ligipääsu saada suid-programmis avatud failile, isegi kui failile ligipääs pole lubatud.

Kasutamisaknas tekib olukord, kuna funktsioon „__ptrace_may_access()“ ei kontrolli failile juurdepääsu, kui väli task->mm on pärast exit_mm() täitmist ja enne exit_files() kutsumist seatud väärtusele NULL. Antud hetkel arvab süsteemi kutsumine pidfd_getfd, et kutsuva protsessi kasutaja ID (uid) vastab failile lubatud ID-le. Tuleb välja, et probleemile on tähelepanu juhtinud juba 2020. aastal, kuid see jäi lahendamata.

Ekspluatsioonis, mis saab sisu /etc/shadow, koosneb rünnak pidevast käivitamisest fork+execl rakenduse /usr/bin/chage kaudu SUID root lipuga, mis loeb sisu /etc/shadow. Pärast protsessi eraldamist toimub süsteemikutsung pidfd_open ja tehakse pidev saadaval pidfd-deskriptorite kontrollimine süsteemikutsungi pidfd_getfd kaudu ja nende kontrollimine kaudu /proc/self/fd. Ekspluatis sshkeysign_pwn tehakse sarnaseid manipulatsioone SUID root programmiga ssh-keysign.

CVE-kood sellele probleemile pole veel määratud, tuuma ja pakettide värskendused distributsioonides pole avaldatud. Hiljuti välja antud tuumas 7.0.7, 6.18.30 ja 6.12.88 haavatavus ei ole kõrvaldatud. Artikli kirjutamise ajal saab kasutada ainult plaastrit. Arutatakse võimalikke võimalusi haavatavuse blokeerimiseks, nagu sysctl kernel.yama.ptrace_scope=3 seadmine või SUID root lipu eemaldamine süsteemi täidetavatelt failidelt (vähemalt ssh-keysign ja chage utiliidid, mida kasutatakse ekspluates).

Täienduseks: Haavatavused on saanud CVE-2026-46333 identifitseerimise. On koostatud Linuxi kerneli uuendused versioonides 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 ja 5.10.256, mis parandavad haavatavusi. Haavatavuste parandamise olekut distributsioonides saab hinnata nendele lehtedele: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Allikas: opennet.ru