Linuxi pidfd alamsüsteemi haavatavus, mis võimaldab lugeda kasutajale juurdepääsuta faile

Linuxi kernis tuvastati viies (1, 2, 3) kriitiline haavatavus viimase kahe nädala jooksul, mis võimaldab kasutajal tõsta oma õigusi süsteemis. Avaldati kaks toimivat eksploitatsiooni: sshkeysign_pwn võimaldab privileeermata kasutajal lugeda suletud hosti SSH-võtmete sisu /etc/ssh/ssh_host_*_key, samas kui chage_pwn võimaldab lugeda faili /etc/shadow, kus on kasutajate paroolide räsi.

Haavatavuse teave ei olnud planeeritud avaldamiseks, kuid üks turvauuringute spetsialistidest suutis hallata midagi, tuginedes kärbitud patšile, mis võimaldab lugeda faile, mis on kättesaadavad ainult root-kasutajale, näiteks /etc/shadow. Lisatud muudetud koodis korrigeeriti get_dumpable() funktsiooni kasutamise loogikat ptrace'is, et määrata ligipääsu taset ptrace_may_access() funktsioonis.

Haavatavus on põhjustatud rassi olekust, mis viib privileeermata juurdepääsuni failifaili deskriptorile pidfd pärast suid root-protsessi failile juurdepääsu. Ajal, mil fail avatakse ja privileegid tühistatakse suid-programmis (näiteks setreuid funktsiooniga), tekib olukord, kus rakendus, mis käivitab suid root-programmi, saab pidfd-deskiptorist juurdepääsu suid-programmis avatud failile, isegi kui failile juurdepääsu õigused ei luba seda.

Ekspluateerimise aknad tekivad, kui funktsioon "__ptrace_may_access()" jätab failile juurdepääsu kontrollimise vahele, kui väli task->mm on pärast exit_mm() käivitamist seatud NULL-iks, kuid enne exit_files() väljakutset. Sel hetkel arvab süsteemikutsung pidfd_getfd, et kutseprotsessi kasutaja identifikaator (uid) vastab identifikaatorile, kellele on lubatud faili juurde pääseda. On tähelepanuväärne, et probleemile pandi tähele juba 2020. aastal, kuid see jäi lahendamata.

Eksploit, mis saab sisu failist /etc/shadow, seisneb pidevas käivitamises fork+execl rakenduse /usr/bin/chage kaudu, suid root-flaagiga, mis loeb /etc/shadow sisu. Pärast protsessi tükeldamist käivitatakse süsteemikutsung pidfd_open ja toimub pidev saadaval olevate pidfd-deskiptorite kontroll läbi süsteemikutsungi pidfd_getfd ja nende kontrollimine /proc/self/fd kaudu. Eksploit sshkeysign_pwn-is tehakse sarnased manipulatsioonid suid root-programmiga ssh-keysign.

CVE-identifikaator probleemile pole veel määratud, tuumauuendusi ja pakette jaotustes pole avaldatud. Hiljuti välja antud tuumades 7.0.7, 6.18.30 ja 6.12.88 haavatavust ei ole kõrvaldatud. Artikli kirjutamise ajal on võimalik kasutada ainult patši. Arutatakse võimalikke meetodeid haavatavuse blokeerimiseks, näiteks sysctl kernel.yama.ptrace_scope=3 seadistamine või suid root lipu eemaldamine süsteemi teostatavatest failidest (vähemalt utiliitidest ssh-keysign ja chage, mida kasutatakse eksploitides).

Täiendav teave: Haavatavusele on määratud identifikaator CVE-2026-46333. Loodud Linuxi tuumauuendused 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 ja 5.10.256 haavatavuse kõrvaldamiseks. Haavatavuste kõrvaldamise staatus jaotustes on võimalik hinnata järgmistel lehtedel: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Allikas: opennet.ru