Copy Fail — haavatavus Linuxi tuumas, mis võimaldab omada root'i enamikus jaotustes

Xint'i teadlased tuvastasid Linuxi tuumas haavatavuse (CVE-2026-31431), mis võimaldab mittepriviligeeritud kasutajal saada juur-access süsteemi. Probleemile on antud koodnimi Copy Fail. Eksploaidi prototüüp on saadaval. Haavatavuse ärakasutamise võimalust on demonstreeritud Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 ja SUSE 16, kuid märgitakse, et ka teiste jaotiste, sealhulgas Debian, Arch, Fedora, Rocky ja Alma, tuumade paketid on probleemile vastuvõtlikud, kuid neid eraldi ei testitud.

Haavatavus on põhjustatud loogilisest veast Linuxi tuuma crypto API-s (AF_ALG), mis tehti 2017. aastal optimeerimise käigus, millega eemaldati liigsed puhvrid läbi in-place blokkišifreeeringu AEAD (Authenticated Encryption with Associated Data) toimingute. Probleem tekkis mõtlemata splice() funktsiooni kasutamisest, mis edastab andmeid failidesse ja kanalitesse (pipe) ilma kopeerimiseta, edastades viiteid lehe vahemälu elementidele. Pärast optimeerimise tegemist kirjutati AF_ALG soketisse faili edastamisel scatterlist-struktuuri mitte viide eraldi puhvrile, vaid otsene viide tuuma lehe vahemälu elementidele koos faili andmetega.

Hiljem, AEAD dekodeerimise käigus, segunesid viidatud autentimise sildi andmed («authentication tag») RX-puhvrisse kopeeritavate lisasertifitseeritud andmete (AAD, Associated Authenticated Data) ja krüpteeritud tekstiga, ning autentimise sildi kirjutamise offset arvutati kopeeritud andmete suhtes ilma nõuetekohaste kontrollideta, mis võimaldas üle kirjutada suvalised piirkonnad lehe vahemälus.

Haavatavus annab võimaluse iga päringu korral kirjutada 4 bitti valitud offsetiga, mis võimaldab ründajal saata päringute seeria kaudu muuta lehe vahemälu sisu mis tahes faili peale süsteemis, mis on lugemiseks saadaval, pärast selle vahemällu paigutamist. Kuna igasugustes lugemisoperatsioonides antakse sisu esmajärjekorras lehe vahemälust, saab tuum või protsess, lugedes andmeid failist, mitte tegelikku, vaid asendatud andmeid, mida võib kasutada koodi sisestamiseks käivitatavatesse failidesse või laaditavatesse jagatud teekidesse.

Root-õigustega koodi käitamiseks piisab, kui muuta igasuguse suid root-iga täidetava faili leheküljekaupa vahemälu.
Pakutud eksploit kasutab täidetava faili /usr/bin/su lugemist ja seda faili laaditud sisu muutmist leheküljekaupa vahemälus, et asendada see oma koodiga. Järgmise utiliidi „su“ käivitamise korral laaditakse mällu mitte originaalne täidetav fail salvestuselt, vaid muudetud koopia leheküljekaupa vahemälust.

Ekspoit on universaalne, ei vaja kohandamist distributsioonide või kerneliversioonide järgi ning seda saab kasutada kõikide distributsioonidega. Kuna konteinerite eraldamiseks kasutatakse kõigi konteinerite jaoks ühist leheküljekaupa vahemälu, saab haavatavust kasutada host-ümbrusse pääsemiseks konteinerist (hiljem lubatakse avaldada ekspoit, mis ületab eraldatuse Kuberneteses).

Haavatavus tuvastati AI abil umbes tunni katsetustega tuumakryptosüsteemi koodi analüüsimisel. Probleem ilmneb alates Linuxi versioonist 4.14, mis ilmus 2017. aastal, ja on kõrvaldatud versioonides 6.18.22, 6.19.12 ja 7.0. Haavatavuste kõrvaldamise staatused erinevates distributsioonides on hinnatavad nende lehekülgede andmetel: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch,
Fedora, ROSA.

Kaitse möödaamine on kernelimooduli algif_aead välja lülitamine, mida kasutatakse OpenSSL-is afalg mootori ekspliciitse sisselülitamise ajal ja eraldi rakendustes (selliste käivitatud rakenduste olemasolu saab kontrollida käsku „lsof | grep AF_ALG“):

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Allikas: opennet.ru