GRO Frag — seitsmes Copy Fail klassi haavatavus, mis annab Linuxis root õigused

Avalikuks on pandud eksploite seitsmanda haavatavuse (1, 2-3, 4, 5, 6) kohta Linuxi tuumas, mis võimaldab privileegideta kohalikul kasutajal saada root-õigused, kirjutades andmed leheküljete vahemällu. CVE-tuvastus veel ei ole määratud, peale eksploidi koodi pole probleemi kohta veel teavet. Parandus on saadaval ainult pahvakuna, mis avaldati 20. mail ja 21. mail vastu võetud Linuxi tuuma põhiklassi (parandused tuumas pole veel saadaval).

Haavatavus esineb tehnoloogia GRO (Generic Receive Offload) rakendamisel, mida kasutatakse segmenteeritud paketide töötlemise kiirusel. Haavatavus on põhjustatud vea tõttu zerocopy mehhanismi rakendamisel funktsioonis skb_gro_receive(), mis muudab otseselt andmeid leheküljete vahemälus, et välistada liigset vahemälustamist. Kui on seatud lipp SKBFL_MANAGED_FRAG_REFS, jäeti tähelepanuta viidete salvestamine vabastatud mälule shinfo->frags välja, pärast mida liideti see väli teise skb-ga ilma viidete loenduri muutmiseta, mis viis seda mälusse pärast vabastamist (use-after-free) pääsemiseni. Probleemi õnnestus ära kasutada andmete üle kirjutamiseks leheküljete vahemälus, tänu io_uring-täpset pointerit manipuleerimisele.

Rünnak on võimalik süsteemides, kus on sisse lülitatud io_uring alamsüsteem (io_uring_disabled=0). Eksploidi toimimiseks peab süsteemis olema lugemiseks kergesti saadaval SUID-rooti lipuga täidetud täitemoodul. Eksploidi mehhanism seisneb selles, et ründaja püüab saada kasutajate baasi leheküljete vahemällu, pärast mida asendab vahemälu rekvisiidi „hax::0:0::/root:/bin/sh“. Seejärel käivitatakse käsk „su hax“, mis ei saa originaalset kasutajate baasi, vaid muudetud koopia vale logiga „hax“, millel on root-õigused ja tühi parool. Eksploidi töö on testitud Ubuntu 24.04.

Allikas: opennet.ru