L'azienda Qualys ha scoperto una vulnerabilit\u00e0 (CVE-2025-6019) nella libreria libblockdev, che consente di ottenere diritti di root nel sistema attraverso manipolazioni con il processo di sfondo udisks. Il funzionamento del prototipo dell'exploit \u00e8 stato dimostrato in Ubuntu, Debian, Fedora e openSUSE Leap 15. <\/p>\n
Il processo udisks \u00e8 utilizzato praticamente in tutte le distribuzioni Linux e fornisce un'interfaccia D-Bus per eseguire operazioni con i dispositivi di archiviazione, come il mounting e la formattazione. Per eseguire azioni sui dispositivi, udisks chiama le funzioni della libreria libblockdev. L'accesso a udisks \u00e8 per impostazione predefinita consentito solo agli utenti che operano nel contesto \u00aballow_active\u00bb, ovvero a coloro che hanno accesso fisico al computer e si sono connessi tramite la console locale o hanno avviato una sessione grafica. Gli utenti che si connettono da remoto, ad esempio tramite ssh, non rientrano in questo contesto e non possono sfruttare direttamente la vulnerabilit\u00e0. <\/p>\n
Per aggirare questa limitazione, \u00e8 possibile utilizzare un trucco che consente di elevare il livello di autenticazione a \u00aballow_active\u00bb manipolando l'avvio di un servizio utente tramite systemctl, che polkitd percepir\u00e0 come una sessione locale. Il fulcro del metodo sta nel fatto che polkitd determina la presenza di accesso fisico e assegna il livello \u00aballow_active\u00bb in base a indizi indiretti che possono essere manipolati. Le limitazioni del metodo risiedono nel fatto che, per ingannare polkitd, \u00e8 necessario che nella macchina sia gi\u00e0 attiva una sessione utente locale con accesso fisico. <\/p>\n
Il secondo metodo per ottenere i diritti \u00aballow_active\u00bb consiste nello sfruttare una vulnerabilit\u00e0 (CVE-2025-6018) nei PAM (Pluggable Authentication Modules), identificata dai ricercatori di Qualys durante l'analisi delle vulnerabilit\u00e0 in libblockdev. Questa vulnerabilit\u00e0 consente a qualsiasi utente, anche a chi si collega via SSH, di eseguire operazioni nel contesto \u00aballow_active\u00bb. Il problema \u00e8 specifico per le configurazioni di PAM in openSUSE Leap 15 e SUSE Linux Enterprise 15 e si verifica solo in queste distribuzioni. <\/p>\n
Nel modulo pam_env in openSUSE e SUSE, per impostazione predefinita, \u00e8 abilitata la lettura del file ~\/.pam_environment. Attraverso questo file, l'utente pu\u00f2 impostare le variabili ambientali XDG_SEAT=seat0 e XDG_VTNR=1, che, durante l'elaborazione successiva, verranno percepite come un'indicazione della presenza fisica dell'utente, anche se l'accesso \u00e8 avvenuto via SSH. Il modulo pam_env viene attivato anche durante la connessione via ssh in Debian 12 e Ubuntu 24.04 (in Debian 13 e Ubuntu 24.10+ \u00e8 disabilitato), ma l'impostazione delle variabili ambientali in queste distribuzioni non pu\u00f2 essere utilizzata per elevare i diritti a \u00aballow_active\u00bb, poich\u00e9 pam_env viene chiamato nella fase finale, dopo il caricamento del modulo pam_systemd, e le variabili impostate non possono influire sui parametri della sessione. <\/p>\n
Per quanto riguarda la vulnerabilit\u00e0 in libblockdev, l'attaccante pu\u00f2 montare un'immagine di un file system arbitrario in modalit\u00e0 loop, inserendo in tale immagine un file eseguibile con il flag SUID root o un dispositivo speciale (\/dev\/mem) per l'accesso a basso livello ai dischi o alla memoria. Per prevenire simili attacchi, le immagini dei file system vengono montate dal sistema con i flag nosuid e nodev, ma la vulnerabilit\u00e0 in libblockdev consente di montare l'immagine senza tali flag. Il fulcro della vulnerabilit\u00e0 \u00e8 che udisks permette a un utente con accesso \u00aballow_active\u00bb di ridimensionare i propri file system e libblockdev, durante l'esecuzione di tale operazione, monta temporaneamente il file system senza impostare i flag nosuid e nodev. <\/p>\n
Pertanto, l'attacco consiste nella creazione di un dispositivo loop basato su un'immagine di filesystem XFS, contenente un file suid root, nell'iniziare un'operazione di ridimensionamento del dispositivo loop e nel monitorare il momento in cui viene montato nella directory \/tmp\/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup \u2014file .\/xfs.image \u2014no-user-interaction File mappato .\/xfs.image come \/dev\/loop0. victim> mentre \u00e8 vero; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call \u2014system \u2014dest org.freedesktop.UDisks2 \u2014object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 \u2014method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Errore: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Errore nel ridimensionamento del filesystem su \/dev\/loop0: impossibile smontare '\/dev\/loop0' dopo averlo ridimensionato: il bersaglio \u00e8 occupato -r-sr-xr-x. 1 root root 1406608 Giu 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) gruppi=65534(nobody) <\/p>\n
La vulnerabilit\u00e0 in libblockdev \u00e8 stata finora risolta solo sotto forma di patch. \u00c8 possibile controllare lo stato della nuova versione del pacchetto o la preparazione di una correzione nelle distribuzioni su queste pagine (se la pagina non \u00e8 disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo e Arch (1, 2). Come soluzioni alternative per bloccare la vulnerabilit\u00e0, \u00e8 possibile modificare la regola di accesso all'operazione \u00aborg.freedesktop.udisks2.modify-device\u00bb in polkit, cambiando nel file \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy il valore del parametro \u00aballow_active\u00bb da \u00abyes\u00bb a \u00abauth_admin\u00bb. <\/p>\n