Vulnerabilities in apport and systemd-coredump that allow the extraction of system user password hashes

Qualys avastas kaks haavatavust apport'i (CVE-2025-5054) ja systemd-coredump'i (CVE-2025-4598) tööriistades, mida kasutatakse pärast protsesside ootamatut sulgemist genereeritud core-failide töötlemiseks. Need haavatavused võimaldavad pääseda juurde core-failidele, mis on salvestatud pärast suid-rakenduste või mõne süsteemi taustprotsessi ootamatut sulgemist, mille mälu võib sisaldada vahemällu salvestatud mandaate või krüpteerimisvõtmeid. Apport'i utiliiti kutsutakse automaatselt, et salvestada core-dumpid Ubuntu's, samas kui systemd-coredump'i kasutatakse Red Hat Enterprise Linux 9+, Fedora ja paljude teiste Linuxi jaotiste puhul.

Rünnakutehnika demonstreerimisel loodi tingimused suid-rakenduse unix_chkpwd ootamatuks sulgemiseks ja pääsuks core-faili, kus on seisundid rikke ajal. Salvestatud core-dump'is olid süsteemi kasutajate paroolide räsi, mis jäävad ootamatult sulgunud protsessi mällu pärast /etc/shadow sisu laadimist. Haavatavuste ärakasutamise võimalust demonstreeriti Ubuntu 24.04 ja Fedora 40/41 korral, kuid eeldatakse, et ka teised jaotised on sarnastele rünnakutele avatud.

Mõlemad haavatavused on põhjustatud võidusõidutingimustest, mis võimaldavad asendada ootamatult sulgunud suid-protsessi teise protsessiga ajavahemikus peale selle käivitamist tuuma poolt, kuid enne kui kasutajaruumi töötlija kontrollib protsessi parameetreid läbi /proc/pid/files. Apport'i ja systemd-coredump'i kutse tehakse järgmiselt: tuum, saades teavet protsessi ootamatu sulgemise kohta, käivitab töötlija, mis on määratud failis /proc/sys/kernel/core_pattern, seejärel edastab core-dump'i sisu selle sisendi kaudu.

Core-dump'i genereerimine ja töötlija käivitamine ei toimu koheselt ning see aeg on piisav, et asendada lõpetatud suid-protsess tavakasutaja protsessiga. Kui asendamine toimub, peab käivitatud core-dumpi töötlija olema veendunud, et rike ei toimunud suid-protsessis, vaid tavakasutaja rakenduses, ja seega salvestab core-faili, millele on juurdepääs tavakasutajal, mitte ainult administraatoril.

Rünnak apport'i vastu koosneb järgmistest sammudest:

• Loodud uus protsess ja kutsutakse välja execve() funktsioon suid-programmi, nagu unix_chkpwd, käivitamiseks.
• Kuluva aeg, mis on vajalik suid-programmi konfidentsiaalsete andmete laadimiseks mällu (unix_chkpwd korral oodatakse, et kõikide süsteemi kasutajate paroolihäkkide laadimine toimub failist /etc/shadow).
• Enne käsu täitmise lõppu saadetakse protsessile SIGSEGV või SIGSYS signaal, et see äkki lõpetada.
• Äkilise lõpetamise korral genereerib kernel core-dump'i ja käivitab apport' protsessi core-dump'i töötlemiseks kasutajate ruumis.
• Pärast apport'i käivitamist, kuid enne äkiliselt lõpetatud protsessi analüüsimist saadetakse sellele SIGKILL signaal ja protsess asendatakse teisega, millel ei ole suid lippu. Kontrollide ringi mööda pääsemiseks luuakse uus protsess erinevatesse nimede ruumidesse (kasutaja, pid ja mount namespace).
• apport ühendub unix-soketiga /run/apport.socket, mis on loodud uue protsessi mount namespace'is, ja saadab failihalduri, et pääseda core-dump'ile.

Selleks, et saada uuele protsessile vajalik ID, mis vastab suid-protsessi ID-le, peatatakse suid-protsess SIGSTOP signaaliga enne SIGSEGV signaali saatmist, ja selle peatamise ajal käivitatakse tsükliliselt uusi protsesse, kuni saadakse PID, mille eelmine number on lähedane asendatavale suid-protsessile. PID nummerdamise nihke järel saadetakse suid-protsessile SIGSEGV ja SIGCONT signaalid, pärast mida saadetakse SIGKILL ja tsükliliselt käivitatakse uusi protsesse, et saavutada sama PID, mis on suid-protsessil.

Mis puudutab systemd-coredump'i, siis ühelt poolt on rünnaku läbiviimine sellele lihtsam, kuna ei ole vaja asendada suid-protsessi eraldi kasutajaruumi protsessiga, piisab AT_UID ja AT_EUID sarnasusest saavutamisest. Teiselt poolt on systemd-coredump kirjutatud C keeles ja käivitub piisavalt kiiresti, mis annab vähem aega asendamiseks, erinevalt apport'ist, mis on kirjutatud Pythonis ja käivitumisetapis laadib erinevaid pyc-faile. Sellise probleemi lahendamiseks kasutatakse systemd-coredump'i kunstlikku aeglustamist — suid-faili kutsumisel edastatakse väga suur hulk käskluse argumente, mis tekitab vajaliku viivituse, mis tekib /proc/pid/cmdline analüüsimise ajal.

Haavatavuste analüüsi käigus tuvastasid uurijad, et systemd-coredump ei määrata väljakutse seadistamisel /proc/sys/kernel/core_pattern lipukest „%d“, mis võimaldab ründajal käivitada hädaolukorra lõpetamise juurte õigustega taustaprotsesside jaoks, mis käivitavad teisi protsesse kasutaja ID muutmisega privileegidevabaks kasutajaks, kelle all rünnak toimub. See võimalus võimaldab rünnata mitte ainult setuid-rakendusi, vaid ka selliseid protsesse nagu sshd-session (OpenSSH), sd-pam (systemd) ja cron, et saada nende mälus püsivate konfidentsiaalsete andmete, nagu privaatvõtmed, paroolihäkkide häshed /etc/shadow, kanaripostid virnast ja andmed adresseerimise ruumi (ASLR) ümberminekuks.

Paketiuuenduste avaldamise jälgimist jaotustes saab teha lehtedel: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, Arch. Küberturbehaavatavuste blokeerimiseks pakutakse välja lahendus, mille kohaselt keelatakse core-ärakogude salvestamine suid-programmide ja privileegide ülekandvate protsesside jaoks, seadistades parameetri /proc/sys/fs/suid_dumpable väärtuseks 0. Probleemi täielikuks kõrvaldamiseks on vajalik muudatused Linuxi tuumas, mis rakendab teabe edastamise võimaluse kokku kukkunud protsessi kaudu pidfd mehhanismi (pidfd on seotud konkreetsete protsessidega ja erinevalt pid-st ei saa see uuesti määrata).

Allikas: opennet.ru