Qualys on tuvastanud haave (CVE-2025-6019) teegis libblockdev, mis v\u00f5imaldab udisks taustaprotsessi manipuleerimise kaudu saada s\u00fcsteemis root \u00f5igused. Ekspluateerimise protot\u00fc\u00fcbi t\u00f6\u00f6 n\u00e4idati Ubuntu, Debian, Fedora ja openSUSE Leap 15 keskkondades. <\/p>\n
Protsess udisks rakendatakse praktiliselt k\u00f5ikides Linuxi jaotustes ning see pakub D-Bus liidest salvestusseadmete operatsioonide, nagu mountimine ja vormindamine, teostamiseks. Salvestusseadmete toimingute tegemiseks kutsub udisks esile libblockdev teegi funktsioonid. Udisks on vaikimisi juurdep\u00e4\u00e4supiirangud seatud ainult kasutajatele, kes tegutsevad 'allow_active' kontekstis, st neil on f\u00fc\u00fcsiline juurdep\u00e4\u00e4s arvutile ja nad on sisse loginud kohaliku konsooli kaudu v\u00f5i k\u00e4ivitanud graafilise seansi. Kaug\u00fclevaatajatel, n\u00e4iteks SSH kaudu sisse logitud kasutajatel, see kontekst ei laiene ning nad ei saa otse haavatavust \u00e4ra kasutada. <\/p>\n
Selle piirm\u00e4\u00e4ra \u00fcletamiseks saab kasutada nippi, mis v\u00f5imaldab t\u00f5sta autentimise taset 'allow_active' kaudu systemctl kasutaja teenuse k\u00e4ivitamise manipuleerimise, mida polkitd t\u00f5lgendab kui kohaliku seansi m\u00e4rki. Meetodi olemus on see, et polkitd m\u00e4\u00e4rab f\u00fc\u00fcsilise juurdep\u00e4\u00e4su olemasolu ja m\u00e4\u00e4rab 'allow_active' taseme k\u00f5rvale viidatud tunnuste p\u00f5hjal, mida saab m\u00f5jutada. Meetodi piirangud seisnevad selles, et polkitd petmiseks peab s\u00fcsteemis juba olema aktiivne kohaliku kasutaja seanss f\u00fc\u00fcsilise juurdep\u00e4\u00e4suga. <\/p>\n
Teine meetod 'allow_active' \u00f5iguste saavutamiseks on haavatavuse (CVE-2025-6018) \u00e4rakasutamine PAM (Pluggable Authentication Modules) s\u00fcsteemis, mille avastasid Qualyse uurijad libblockdev haavatavuse anal\u00fc\u00fcsi k\u00e4igus. Haavatavus v\u00f5imaldab igal kasutajal, sealhulgas SSH kaudu sisse loginutel, teostada toiminguid 'allow_active' kontekstis. Probleem on spetsiifiline PAM-i seadistustele openSUSE Leap 15 ja SUSE Linux Enterprise 15 s\u00fcsteemides ning ilmneb ainult nendes jaotustes. <\/p>\n
OpenSUSE ja SUSE s\u00fcsteemides on pam_env moodulis vaikimisi lubatud faili ~\/.pam_environment lugemine. Selle faili kaudu saab kasutaja seada keskkonna muutujad XDG_SEAT=seat0 ja XDG_VTNR=1, mis edaspidi t\u00f6\u00f6deldes t\u00f5lgendatakse kasutaja f\u00fc\u00fcsilise kohaloleku t\u00e4hisena, isegi kui sisselogimine toimub SSH kaudu. Pam_env moodulit kutsutakse esile ka SSH \u00fchenduse loomisel Debian 12 ja Ubuntu 24.04, kuid Debian 13 ja Ubuntu 24.10+ puhul on see keelatud. Kuid nende distributsioonide keskkonna muutujate seadmine ei saa t\u00f5sta ligip\u00e4\u00e4sutaset 'allow_active', kuna pam_env kutsutakse v\u00e4lja viimases etapis p\u00e4rast pam_systemd mooduli laadimist ja seadistatud keskkonna muutujad ei saa seansi parameetreid m\u00f5jutada. <\/p>\n
Mis puudutab libblockdev haavatavust, siis r\u00fcndaja saab mountida juhusliku failis\u00fcsteemi kujutise loop-re\u017eiimis, paigutades sellesse kujutisse SUID root'i jaotatud k\u00e4ivitatava faili v\u00f5i erivahendi (\/dev\/mem) madala taseme juurdep\u00e4\u00e4su saamiseks kettaseadmetele v\u00f5i m\u00e4lule. Sarnaste r\u00fcnnakute blokeerimiseks montitakse failis\u00fcsteemi kujutised s\u00fcsteemi poolt nosuid ja nodev lippudega, kuid libblockdev haavatavus v\u00f5imaldab mountida kujutise ilma nosuid ja nodev lippudeta. Haavatavuse olemus seisneb selles, et udisks v\u00f5imaldab 'allow_active' ligip\u00e4\u00e4sutasemega kasutajal oma failis\u00fcsteemide suurust muuta ja libblockdev montib antud toimingu k\u00e4igus ajutiselt failis\u00fcsteemi ilma nosuid ja nodev lippudeta. <\/p>\n
Nii et r\u00fcnnak seisneb XFS failis\u00fcsteemi kujutise alusel loop-seadmestiku loomises, kuhu on paigutatud suid root fail, loop-seadmestiku suuruse muutmise operatsiooni algatamises ja hetke j\u00e4lgimises, mil see monteeritakse kausta \/tmp\/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup --file .\/xfs.image --no-user-interaction Mapped file .\/xfs.image as \/dev\/loop0. victim> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call --system --dest org.freedesktop.UDisks2 --object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error resizing filesystem on \/dev\/loop0: Failed to unmount '\/dev\/loop0' after resizing it: target is busy -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody) <\/p>\n
libblockdev haavatall on praegu parandatud ainult plaastrite kujul. Paketi uue versiooni oleku v\u00f5i parandusettepanekute kontrollimiseks jaotustes saab k\u00fclastada j\u00e4rgmisi lehti (kui leht pole saadaval, siis on jaotuse arendajad probleemile veel vastutust v\u00f5tnud): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo ja Arch (1, 2). Haavatavuse peatamiseks v\u00f5ib kasutada ringteed, muutes p\u00e4\u00e4sureeglit operatsiooni «org.freedesktop.udisks2.modify-device» jaoks polkitis, muutes failis \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy parameetri «allow_active» v\u00e4\u00e4rtuse «yes» asemel «auth_admin». <\/p>\n