Linuxi kernelis avastati kaks haavatavust, mis on iseenesest sarnased paar p\u00e4eva tagasi avaldatud Copy Fail haavatavusele, kuid ilmnevad teistes alams\u00fcsteemides - xfrm-ESP ja RxRPC. Haavatavuste seeriale on antud koodnimi Dirty Frag (harap vahepeal Copy Fail 2). Need haavatavused v\u00f5imaldavad tavakasutajal saada root-\u00f5igused, kirjutades \u00fcle protsessi andmed lehek\u00fclje vahem\u00e4lles. Eksplitatsioon on saadaval ja t\u00f6\u00f6tab k\u00f5ikides uutes Linuxi distributsioonides. Haavatavuse teave on avaldatud enne paranduspatchide ilmumist, kuid probleemide blokeerimiseks on olemas ringtee meetod. <\/p>\n
Dirty Frag h\u00f5lmab kahte erinevat haavatavust: esimene on xfrm-ESP moodulis, mida kasutatakse IPsec-i kr\u00fcpteerimise operatsioonide kiirendamiseks ESP (Encapsulating Security Payload) protokolli abil, ja teine on RxRPC draiveris, mis rakendab AF_RXRPC soklite perekonda ja samanimelist RPC-protokolli, mis t\u00f6\u00f6tab UDP peal. Iga haavatavus eraldi v\u00f5imaldab root-\u00f5iguste saamist. Haavatavus xfrm-ESP-s on Linuxi kernelis ilmnenud alates jaanuarist 2017, haavatavus RxRPC-s aga alates juunist 2023. M\u00f5lemad probleemid on p\u00f5hjustatud optimeerimistest, mis v\u00f5imaldavad otse kirjutada lehek\u00fclje vahem\u00e4lles. <\/p>\n
xfrm-ESP haavatavuse \u00e4ra kasutamiseks peab kasutajal olema \u00f5igused nimede loomiseks, samas kui RxRPC haavatavuse \u00e4rakasutamiseks peab olema v\u00f5imalus laadida tuuma moodulit rxrpc.ko. N\u00e4iteks Ubuntu s\u00fcsteemis keelab AppArmori reeglid mitteprivilegeeritud kasutajal nimede loomise, kuid vaikimisi laaditakse moodul rxrpc.ko. M\u00f5nes distributsioonis puudub moodul rxrpc.ko, kuid nimede loomine ei ole blokeeritud. Probleemi avastanud uurija valmistab ette kombineeritud eksploit, mis suudab r\u00fcnnata s\u00fcsteemi m\u00f5lema haavatavuse kaudu, v\u00f5imaldades probleemist kasu l\u00f5igata k\u00f5ikides suuremates distributsioonides. Eksploidi t\u00f6\u00f6kindlust on kinnitatud Ubuntu 24.04.4, kernel 6.17.0-23, RHEL 10.1 kernel 6.12.0-124.49.1, openSUSE Tumbleweed kernel 7.0.2-1, CentOS Stream 10 kernel 6.12.0-224, AlmaLinux 10 kernel 6.12.0-124.52.3 ja Fedora 44 kernel 6.19.14-300 puhul. <\/p>\n
Nagu Copy Fail haavatavuse korral, on xfrm-ESP ja RxRPC probleemid seotud andmete dekodeerimise teostamisega koha peal, kasutades splice() funktsiooni, mis edastab andmeid failides ja torudes (pipe) kopeerimata, edastades viiteid lehe vahemiku elemendile. Kirjutamise toimingu nihked arvutati ilma n\u00f5uetekohaste kontrollideta, mis arvestaksid otse viidatud elementide kasutamist lehe vahemikus, mis v\u00f5imaldas spetsiaalselt vormistatud p\u00e4ringute saatmise kaudu nullida 4 baiti valitud nihkes ja muuta lehe vahemikus oleva iga faili sisu. <\/p>\n
K\u00f5ik failide lugemise operatsioonid annavad esmalt sisu lehek\u00fclje vahem\u00e4lust. Kui lehek\u00fclje vahem\u00e4lu andmeid muudetakse, siis failist lugemise operatsioonid toovad tagasi mitte tegelikult salvestatud teabe andmed, vaid muudetud andmed. Haavatavuse \u00e4rakasutamine seisneb lehek\u00fclje vahem\u00e4lu muutmises suid root lipuga k\u00e4ivitatava faili jaoks. N\u00e4iteks root-\u00f5iguste saamiseks v\u00f5ib lugeda k\u00e4ivitatavat faili \/usr\/bin\/su selle viimiseks lehek\u00fclje vahem\u00e4llu, p\u00e4rast mida v\u00f5ib saada oma koodi asendamise lehek\u00fclje vahem\u00e4llu laaditud faili sisu. J\u00e4rgmine utiliidi \u201esu\u201c k\u00e4ivitamine toob m\u00e4llu mitte originaalse k\u00e4ivitatava faili andmed salvestusruumist, vaid muudetud koopia lehek\u00fclje vahem\u00e4lust. <\/p>\n
Teave haavatavuste kohta ja koordineeritud v\u00e4rskenduste vabastamine probleemide lahendamiseks oli kavandatud 12. maiks, kuid teabe lekke t\u00f5ttu tuli haavatavuse detailid avaldada enne paranduste avaldamist. Aprilli l\u00f5pus avaldati netdev avalikus postitusnimekirjas rxrpc, ipsec ja xfrm plaastrid, ilma, et oleks mainitud, et need on seotud haavatavuste k\u00f5rvaldamisega. 5. mail aktsepteeris IPsec alams\u00fcsteemi hoidja git-repositooriumis netdev muudatust xfrm-esp mooduli soovitatud parandusega, mille kirjeldus kordas suuresti Copy Fail haavatavuse probleemi kirjeldust algif_aead moodulis. \u00dcks turva-uuringute ekspert huvitas seda parandust, suutis luua t\u00f6\u00f6korras eksploiidi ja avaldas selle, teadmata, et probleemist teabe avalikustamiseks oli kehtestatud embargo kuni 12. maini. <\/p>\n