GRO Frag: uus LPE-haavatavus Linuxi võrgualus võimaldab hankida root-i juurdepääsu

Avaldas on eksploite avatud juurdepääsuga GRO Frag — lokaalne privileegide tõstmise haavatavus Linuxi tuumas, mis on seotud GRO ja zero-copy skb töötlemisega võrgu stackis. Esialgse avastamise täpset kuupäeva avalikes materjalides ei ole märgitud. Avatud jälgedest on võimalik fikseerida kaks kuupäeva: parandamine arutati netdev meililistis 20. mai 2026, kus seda haavatavust on juba kirjeldatud kui sobivat page cache'i üle kirjutamiseks, ja avalik PoC asetati GitHub Gist 22. mai 2026.

Ajutise meetmena enne parandatud tuuma installimist saab rünnaku vektorit piirata järgmise sysctl seadistamisega: kernel.io_uring_disabled=1. See režiim keelab uusate io_uring eksemplaride loomise privileegita protsesside poolt, kui nad ei ole kaasatud lubatud rühma io_uring_group; grupi väärtuse -1 korral säilib juurdepääs ainult protsesside jaoks, kellel on CAP_SYS_ADMIN. See on just mitiigeerimine, mitte täielik parandamine haavatavusele.

Probleem on funktsiooni skb_gro_receive() sees: paketide GRO ühendamisel võis tuum edastada fragmentide zero-copy skb teise skb juurde ilma korrektse zero-copy oleku ja SKBFL_MANAGED_FRAG_REFS lipu kontrollimata. Selle tulemusena võidi mälu lehed, millele algne skb ei hoidnud eraldi viiteid, vabastada valesti, mis viis use-after-free'i olukorrani. Patсhis on otseselt märgitud, et selline olukord võib viia UAF-ini, samuti et leitud variant oli sobilik page cache'i üle kirjutamiseks.

Avalikustatud PoC kirjeldab haavatavust kui LPE läbi GRO managed-frag UAF kasutades io_uring SEND_ZC ja virtuaalset võrkaadressi veth. Koodis on märgitud, et mõjutatud on tuumad Linux 6.0+, ekspluateerimine on võimalik privileegita kasutaja poolt, kuid nõuab kergesti kättesaadavat io_uring; paranduse nimeks on antud komiteed 4db79a322db8 koos muudatusega „net: gro: ära ühenda zcopy skbs“.

GRO Frag on tagajärgede poolest samas ohtlikus veaklassis nagu Copy Fail ja Dirty Frag: ründaja, kellel on lokaalne privileegita juurdepääs, saavutab page cache'i andmete muutmise, see tähendab mälu, ilma et fail oleks vajalikult muudetud kettal. Sellised vead on eriti ebameeldivad, kuna need mõjutavad piiri 'ainult lugemise' faili ja tegeliku sisu vahel, mida tuumad ja protsessid näevad järgmistele päringutele. Elastic oma uurimustes kirjeldas seda klassi kui praktilist teed root'i saamiseks page-cache'i korruptsiooni kaudu.

Avaldamise hetkel ei olnud GRO Frag jaoks eraldi CVE-identifikaator veel määratud, arvestades kergesti ligipääsetavaid teateid. Ajutiste meetmetena peaksid administraatorid keskenduma tuuma uuendamisele versioonile, kus on parandus, ning üldiste riskialandamise meetmete rakendamisele sarnaste LPE-de puhul: privileegideta kasutajate nimede ruumide piiramine seal, kus see on lubatud, io_uring'i kasutamise kontrollimine ja kahtlaste ahelate jälgimine, mis on seotud kohaliku privileegide tõstmisega. Seotud Copy Fail/DirtyFrag-rünnakute puhul soovitab Elastic samuti kombineerida patchimist madala taseme ekspluateerimis primitiivide tuvastamisega.

Madala taseme ekspluateerimis primitiivide all ei mõisteta mitte valmis „rünnakut”, vaid põhilisi tehnilisi tehnikaid, millest eksploitat koostatakse.

GRO Fragi kontekstis võib see tähendada mitte valmis rünnaku „kasutaja sai root” tuvastamist, vaid eraldi kahtlaste tegevuste märkamine, mida eksploit kasutab privileegide tõstmise teel.

Allikas: linux.org.ru