È stato pubblicato un exploit per la settima vulnerabilità (1, 2-3, 4, 5, 6) nel kernel Linux, che consente a un utente locale non privilegiato di ottenere i diritti di root sovrascrivendo i dati nella cache delle pagine. L'identificativo CVE non è ancora stato assegnato, e al momento non ci sono informazioni oltre al codice dell'exploit. La correzione è disponibile solo come patch, pubblicata il 20 maggio e accettata nella branch principale del kernel Linux il 21 maggio (le versioni correttive del kernel non sono ancora disponibili).
Una vulnerabilità è presente nell'implementazione della tecnologia GRO (Generic Receive Offload), utilizzata per accelerare l'elaborazione dei pacchetti frammentati. La vulnerabilità è causata da un errore nell'implementazione del meccanismo zerocopy nella funzione skb_gro_receive(), che modifica direttamente i dati nella cache delle pagine per escludere il buffering superfluo. Con il flag SKBFL_MANAGED_FRAG_REFS impostato, il salvataggio del riferimento alle pagine di memoria liberate nel campo shinfo->frags veniva saltato, dopo di che questo campo veniva unito a un altro skb senza aggiornare il contatore dei riferimenti, portando a un accesso in memoria dopo la sua liberazione (use-after-free). Il problema è stato possibile sfruttare per sovrascrivere i dati nella cache delle pagine grazie alla manipolazione del puntatore sul buffer io_uring.
L'attacco è possibile su sistemi con il sottosistema io_uring attivato (io_uring_disabled=0). Per funzionare, l'exploit deve avere accesso in lettura a un file eseguibile con flag SUID-root. Il meccanismo di sfruttamento consiste nel fatto che l'attaccante riesce a far sedimentare la base utenti nella cache delle pagine, dopo di che inserisce nella cache la stringa «hax::0:0::/root:/bin/sh». Successivamente viene eseguita il comando «su hax», che ottiene non la base utenti originale dal supporto, ma una copia modificata con il login falso «hax», al quale sono concessi diritti di root e una password vuota. L'exploit è stato testato su Ubuntu 24.04.
Fonte: opennet.ru
