Haavatavused PAM-is ja libblockdev-s, mis võimaldavad saada süsteemis root õigusi

Qualys on tuvastanud haave (CVE-2025-6019) teegis libblockdev, mis võimaldab udisks taustaprotsessi manipuleerimise kaudu saada süsteemis root õigused. Ekspluateerimise prototüübi töö näidati Ubuntu, Debian, Fedora ja openSUSE Leap 15 keskkondades.

Protsessi udisks kasutatakse peaaegu kõigis Linuxi jagunemistes ning see pakub D-Bus liidest andmete hoidmisega seotud toimingute, näiteks monteerimise ja vormindamise, täitmiseks. Toimingute sooritamiseks kutsub udisks esile libblockdev teegi funktsioonid. Udisks on vaikimisi avatud ainult „allow_active“ konteksti kasutajatele, st neile, kes omavad füüsilist juurdepääsu arvutile ja on sisse loginud läbi lokaalse konsooli või alustanud graafilist seanssi. Kaugjuhtimisega kasutajad, näiteks ssh kaudu ühenduv, ei kuulu sellesse konteksti ja ei saa otse haavatavust ära kasutada.

Selle piirangu ületamiseks saab kasutada trikki, mis võimaldab tõsta autentimise taset „allow_active” kaudu kasutades systemctl teenuse käivitamise manipuleerimist, mida polkitd tõlgendab kui kohalikku seanssi. Meetodi tuum on see, et polkitd määrab füüsilise juurdepääsu olemasolu ning määrab taseme „allow_active” kaudsete tõendite põhjal, millele on võimalik mõju avaldada. Meetodi piirangud seisnevad selles, et polkitd petmiseks peab süsteemis juba olema aktiivne kohalik kasutaja seanss füüsilise juurdepääsuga.

Teine viis „allow_active” õiguste saamiseks on haavatavuse (CVE-2025-6018) ekspluateerimine PAM (Pluggable Authentication Modules) süsteemis, mille uurijad Qualys õppisid libblockdev haavatavuse analüüsi käigus. Haavatavus võimaldab igal kasutajal, sealhulgas SSH kaudu sisse loginud, teostada toiminguid „allow_active” kontekstis. Probleem on spetsiifiline PAM seadistustele openSUSE Leap 15 ja SUSE Linux Enterprise 15 keskkondades ning ilmneb ainult nendes jagunemistes.

OpenSUSE ja SUSE moodulis pam_env on vaikimisi lubatud faili ~/.pam_environment lugemine. Selle faili kaudu saab kasutaja seada keskkonnamuutujad XDG_SEAT=seat0 ja XDG_VTNR=1, mis töödeldes peetakse kasutaja füüsilise kohalolu märgiks, isegi kui sisenemine toimub SSH kaudu. Moodulit pam_env kutsutakse üles ka SSH-ühenduse loomisel Debian 12 ja Ubuntu 24.04 (Debian 13 ja Ubuntu 24.10+ versioonides on see välja lülitatud), kuid nende distributsioonide keskkonnamuutujate seadmine ei saa tõsta juurdepääsutaset „allow_active”, kuna pam_env kutsub esile pärast pam_systemd mooduli laadimist ning seatud keskkonnamuutujad ei saa seansi parameetreid mõjutada.

Mis puutub libblockdev haavatavusesse, siis saab ründaja mountida mis tahes failisüsteemi pildi loop-režiimis, paigutades sellesse pildi SUID-rooti omadustega käivitatava faili või erilise seadme (/dev/mem), et saada madala taseme juurdepääs ketastele või mälule. Selliste rünnakute vältimiseks mountib süsteem failisüsteemi pildid nosuid ja nodev lipukestega, kuid libblockdev haavatavus võimaldab mountida pildi ilma nosuid ja nodev lipukesteta. Haavatavuse olemus seisneb selles, et udisks võimaldab kasutajal, kellel on juurdepääs „allow_active”, muuta oma failisüsteemide suurust ning libblockdev mountib failisüsteemi ajutiselt ilma nosuid ja nodev lipukesteta.

Seega rünnak seisneb loop-seadmestiku loomises XFS-failisüsteemi pildi põhjal, kuhu on paigutatud suid root-fail, loop-seadmestiku suuruse muutmise operatsiooni initsiimimises ja selle mountimise jälgimises katalooge /tmp/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup —file ./xfs.image —no-user-interaction Mapped file ./xfs.image as /dev/loop0. victim> while true; do /tmp/blockdev*/bash -c ‘sleep 10; ls -l /tmp/blockdev*/bash’ && break; done 2>/dev/null & victim> gdbus call —system —dest org.freedesktop.UDisks2 —object-path /org/freedesktop/UDisks2/block_devices/loop0 —method org.freedesktop.UDisks2.Filesystem.Resize 0 ‘{}’ Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error resizing filesystem on /dev/loop0: Failed to unmount ‘/dev/loop0’ after resizing it: target is busy -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 /tmp/blockdev.RSM429/bash victim> /tmp/blockdev*/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody)

libblockdev'i haavatavus on seni parandatud ainult patch'ide kujul. Paketi uue versiooni staatuse või paranduste ettevalmistamise kontrollimiseks jaotustes saab külastada järgmisi lehti (kui leht ei ole saadaval, tähendab see, et jaotuse arendajad ei ole veel probleemi arutamiseni jõudnud): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo ja Arch (1, 2). Haavatavuse blokeerimiseks saab kasutada vahemeetmeid, muutes juurdepääsureeglit operatsioonile „org.freedesktop.udisks2.modify-device” polkit'is, muutes failis /usr/share/polkit-1/actions/org.freedesktop.UDisks2.policy parameetri „allow_active” väärtuse „jah” pealt „auth_admin” peale.

Lisaks võib märkida mõni tund tagasi avalikustatud haavatavus (CVE-2025-6020) pakendis linux-pam, mis võimaldab lokaalsel kasutajal saada root õigused. Moduul pam_namespace ei kontrollinud õigesti kasutaja kontrolli all olevaid failiteedesid, mis võimaldas sümboolsete linkide manipulatsioonide ja võistluse olukorra saavutamise kaudu privileegidega failide ülekirjutamist süsteemis. Haavatavus on kõrvaldatud linux-pam väljalaskeversioonis 1.7.1. Paketi uue versiooni või paranduste ettevalmistamise kontrollimiseks jaotustes saab külastada järgmisi lehti: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo ja Arch (1, 2).

Allikas: opennet.ru