Javno je objavljen exploit za sedmu ranjivost (1, 2-3, 4, 5, 6) u Linux kernelu, koja omogućava neprivilegiranom lokalnom korisniku da dobije root prava, prepisujući podatke u strančnom kešu. CVE identifikator još nije dodijeljen, osim koda exploita, informacije o problemu za sada nema. Ispravka je dostupna samo u obliku patch-a, koji je objavljen 20. maja, a 21. maja je prihvaćen u glavnu granu Linux kernela (ispravci kernela još nisu dostupni).
Ranjivost je prisutna u implementaciji tehnologije GRO (Generic Receive Offload), koja se koristi za ubrzanje obrade segmentiranih paketa. Ranjivost je uzrokovana greškom u implementaciji mehanizma zerocopy u funkciji skb_gro_receive(), koja direktno menja podatke u strančnom kešu kako bi izbegla nepotrebno buffanje. Kada je postavljen zastavica SKBFL_MANAGED_FRAG_REFS, preskočeno je čuvanje reference na oslobođene stranice memorije u polju shinfo->frags, nakon čega se ovo polje pridružilo drugom skb bez promene broja referenci, što je dovelo do pristupa memoriji nakon njenog oslobađanja (use-after-free). Problem je uspeo da bude iskorišćen za prepisivanje podataka u strančnom kešu, zahvaljujući manipulaciji sa pokazivačem na bafer io_uring.
Napad je moguć na sistemima sa uključenom io_uring podsistemom (io_uring_disabled=0). Za rad exploita u sistemu mora postojati izvršna datoteka dostupna za čitanje sa SUID-root zastavicom. Mehanizam eksploatacije se svodi na to da napadač uspe da smešti bazu korisnika u strančnom kešu, nakon čega u keš umetne redak „hax::0:0::/root:/bin/sh“. Zatim se pokreće komanda „su hax“, koja dobija neoriginalnu bazu korisnika sa uređaja, već izmenjenu kopiju sa podmetnutim imenom „hax“, kojem su dodeljena root prava i prazna lozinka. Rad exploita je testiran u Ubuntu 24.04.
Izvor: opennet.ru
