U Linux jezgru otkrivene su dvije ranjivosti, koje su u osnovi sli\u010dne ranjivosti Copy Fail koja je otkrivena prije nekoliko dana, ali se manifestiraju u drugim podsustavima - xfrm-ESP i RxRPC. Serije ranjivosti dobile su kodno ime Dirty Frag (tako\u0111er se spominje Copy Fail 2). Ranjivosti omogu\u0107uju neprivilegiranom korisniku da dobije root privilegije prepisivanjem podataka procesa u stranicnom predmemoriji. Iskoristiv je exploit koji radi na svim aktualnim distribucijama Linuxa. Informacije o ranjivosti otkrivene su prije objavljivanja ispravaka, ali postoji zaobilazno rje\u0161enje za blokiranje problema. <\/p>\n
Dirty Frag obuhva\u0107a dvije razli\u010dite ranjivosti: prva u modulu xfrm-ESP, koji se koristi za ubrzavanje operacija \u0161ifriranja u IPsec-u kori\u0161tenjem ESP (Encapsulating Security Payload) protokola, dok je druga u RxRPC drajveru, koji implementira obitelj soketa AF_RXRPC i istoimeni RPC protokol koji radi preko UDP-a. Svaka od ranjivosti pojedina\u010dno omogu\u0107uje stjecanje root prava. Ranjivost u xfrm-ESP pojavljuje se u Linux jezgru od sije\u010dnja 2017. godine, dok se ranjivost u RxRPC pojavila od lipnja 2023. godine. Obje probleme izazvane su optimizacijama koje dopu\u0161taju izravno pisanje u stranicni predmemoriji. <\/p>\n
Za eksploataciju ranjivosti u xfrm-ESP korisnik mora imati prava za stvaranje prostora imena, dok za eksploataciju ranjivosti u RxRPC mora postojati mogu\u0107nost u\u010ditavanja jezgrinog modula rxrpc.ko. Na primjer, u Ubuntu-u pravilima AppArmor-u nije dopu\u0161teno neprivilegiranom korisniku stvaranje prostora imena, dok se zadano u\u010ditava modul rxrpc.ko. U nekim distribucijama modul rxrpc.ko nedostaje, ali nisu blokirani prostori imena. Istra\u017eiva\u010d koji je otkrio problem pripremio je kombinirani eksploit koji mo\u017ee napasti sustav kroz obje ranjivosti, \u0161to omogu\u0107uje eksploataciju problema u svim velikim distribucijama. Rad eksploita potvr\u0111en je u Ubuntu 24.04.4 s jezgrom 6.17.0-23, RHEL 10.1 s jezgrom 6.12.0-124.49.1, openSUSE Tumbleweed s jezgrom 7.0.2-1, CentOS Stream 10 s jezgrom 6.12.0-224, AlmaLinux 10 s jezgrom 6.12.0-124.52.3 i Fedora 44 s jezgrom 6.19.14-300. <\/p>\n
Kao i kod ranjivosti Copy Fail, problemi u xfrm-ESP i RxRPC uzrokovani su izvr\u0161avanjem de\u0161ifriranja podataka na mjestu kori\u0161tenjem funkcije splice(), koja prenosi podatke izme\u0111u datote\u010dnih deskripcija i kanala (pipe) bez kopiranja, putem prijenosa referenci na elemente u memorijskom cacheu. Offseti za operaciju pisanja izra\u010dunavani su bez potrebnih provjera koje uzimaju u obzir kori\u0161tenje izravnih referenci na elemente u memorijskom cacheu, \u0161to je omogu\u0107ilo slanjem posebno oblikovanih zahtjeva da se prepi\u0161u 4 bajta na odabranom offsetu i promijeni sadr\u017eaj bilo kojeg datoteke u memorijskom cacheu. <\/p>\n
Sve operacije \u010ditanja iz datoteka prvo vra\u0107aju sadr\u017eaj iz stranicnog predmemorije. U slu\u010daju promjene podataka u stranicnom predmemoriji, operacije \u010ditanja iz datoteke rezultirat \u0107e vra\u0107anjem ne stvarno pohranjene informacije na mediju, ve\u0107 zamijenjenih podataka. Iskori\u0161tavanje ranjivosti svodi se na promjenu stranicnog predmemorije za izvr\u0161nu datoteku s suid root zastavicom. Na primjer, za dobivanje root prava mo\u017ee se pro\u010ditati izvr\u0161na datoteka \/usr\/bin\/su kako bi se stavila u stranicni predmemoriji, nakon \u010dega se mo\u017ee zajam\u010diti zamjena vlastitog koda u u\u010ditanom sadr\u017eaju iz predmemorije te datoteke. Sljede\u0107e pokretanje alata \u00absu\u00bb rezultira time da se u memoriju u\u010ditava neoriginalna izvr\u0161na datoteka iz medija, ve\u0107 izmijenjena kopija iz stranicnog predmemorije. <\/p>\n
Otkrivanje informacija o ranjivostima i koordinirano izdavanje a\u017euriranja za rje\u0161avanje problema bilo je planirano za 12. svibnja, ali zbog curenja informacija, podaci o ranjivosti morali su se objaviti prije objave ispravki. Krajem travnja u javnoj mailing listi netdev objavljeni su patch-evi za rxrpc, ipsec i xfrm, bez navo\u0111enja da su povezani s rje\u0161avanjem ranjivosti. 5. svibnja, odr\u017eavatelj IPsec podskupine prihvatio je u git-repozitorij netdev promjenu s predlo\u017eenim rje\u0161enjem u modulu xfrm-esp, \u010diji je opis u velikoj mjeri ponavljao opis problema koji je doveo do ranjivosti Copy Fail u modulu algif_aead. Jedan od istra\u017eiva\u010da sigurnosti bio je zainteresiran za ovo rje\u0161enje, uspio je stvoriti funkcionalni exploit i objavio ga, nesvjestan toga da je na otkrivanje podataka o problemu do 12. svibnja uvedena zabrana. <\/p>\n