L'azienda Qualys ha identificato una vulnerabilit\u00e0 (CVE-2025-6019) nella libreria libblockdev, che consente, attraverso manipolazioni con il processo in background udisks, di ottenere diritti di root nel sistema. \u00c8 stata dimostrata la funzionalit\u00e0 di un prototipo di exploit su Ubuntu, Debian, Fedora e openSUSE Leap 15. <\/p>\n
Il processo udisks \u00e8 utilizzato praticamente in tutte le distribuzioni Linux e fornisce un'interfaccia D-Bus per eseguire operazioni con i dispositivi di archiviazione, come il montaggio e la formattazione. Per eseguire azioni sui dispositivi, udisks chiama le funzioni della libreria libblockdev. L'accesso a udisks \u00e8 per impostazione predefinita aperto solo agli utenti che operano nel contesto 'allow_active', ovvero coloro che hanno accesso fisico al computer e che si sono collegati tramite la console locale o hanno avviato una sessione grafica. Gli utenti che si connettono da remoto, ad esempio, tramite ssh, non rientrano in questo contesto e non possono sfruttare direttamente la vulnerabilit\u00e0. <\/p>\n
Per aggirare questa limitazione, \u00e8 possibile utilizzare un trucco che consente di elevare il livello di autenticazione a 'allow_active' manipolando l'avvio di un servizio utente tramite la utility systemctl, che polkitd percepir\u00e0 come un'indicazione di una sessione locale. L'essenza del metodo \u00e8 che polkitd determina la presenza di accesso fisico e assegna il livello 'allow_active' sulla base di segni indiretti che possono essere influenzati. Le limitazioni del metodo sono che, per ingannare polkitd, \u00e8 necessario che ci sia gi\u00e0 una sessione attiva di un utente locale con accesso fisico sul sistema. <\/p>\n
Il secondo metodo per ottenere i diritti 'allow_active' \u00e8 sfruttare una vulnerabilit\u00e0 (CVE-2025-6018) in PAM (Pluggable Authentication Modules), identificata dai ricercatori di Qualys durante l'analisi della vulnerabilit\u00e0 in libblockdev. La vulnerabilit\u00e0 consente a qualsiasi utente, compreso chi si connette tramite SSH, di eseguire operazioni nel contesto 'allow_active'. Il problema \u00e8 specifico per le impostazioni PAM in openSUSE Leap 15 e SUSE Linux Enterprise 15 e si manifesta solo in queste distribuzioni. <\/p>\n
Nel modulo pam_env in openSUSE e SUSE, per impostazione predefinita, \u00e8 abilitato il caricamento del file ~\/.pam_environment. Attraverso questo file, l'utente pu\u00f2 impostare le variabili d'ambiente XDG_SEAT=seat0 e XDG_VTNR=1, che durante il successivo trattamento saranno interpretate come un'indicazione della presenza fisica dell'utente, anche se l'accesso avviene effettivamente tramite SSH. Il modulo pam_env viene inoltre chiamato durante la connessione SSH in Debian 12 e Ubuntu 24.04 (in Debian 13 e Ubuntu 24.10+ \u00e8 disabilitato), ma l'impostazione delle variabili d'ambiente in queste distribuzioni non pu\u00f2 essere utilizzata per elevare il livello di accesso a 'allow_active', poich\u00e9 pam_env viene eseguito in fase finale dopo il caricamento del modulo pam_systemd e le variabili d'ambiente impostate non possono influenzare i parametri di sessione. <\/p>\n
Per quanto riguarda la vulnerabilit\u00e0 in libblockdev, un attaccante pu\u00f2 montare un'immagine di un file system arbitrario in modalit\u00e0 loop, posizionando in quest'immagine un file eseguibile con il flag SUID root o un dispositivo speciale (\/dev\/mem) per l'accesso a basso livello ai dischi o alla memoria. Per bloccare attacchi di questo tipo, le immagini dei filesystem vengono montate dal sistema con i flag nosuid e nodev, ma la vulnerabilit\u00e0 in libblockdev consente di montare l'immagine senza i flag nosuid e nodev. Il problema della vulnerabilit\u00e0 \u00e8 che udisks consente a un utente con livello di accesso 'allow_active' di modificare le dimensioni dei propri filesystem e libblockdev, durante l'esecuzione di tale operazione, monta temporaneamente il filesystem senza impostare i flag nosuid e nodev. <\/p>\n
Pertanto, l'attacco si riduce alla creazione di un dispositivo loop basato su un'immagine del filesystem XFS, in cui \u00e8 presente un file SUID root, all'avvio dell'operazione di ridimensionamento del dispositivo loop e al monitoraggio del momento in cui viene montato nella directory \/tmp\/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup --file .\/xfs.image --no-user-interaction Mapped file .\/xfs.image as \/dev\/loop0. victim> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call --system --dest org.freedesktop.UDisks2 --object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error resizing filesystem on \/dev\/loop0: Failed to unmount '\/dev\/loop0' after resizing it: target is busy -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody) <\/p>\n
La vulnerabilit\u00e0 in libblockdev \u00e8 stata corretta solo in forma di patch. \u00c8 possibile controllare lo stato della nuova versione del pacchetto o della preparazione di una correzione nelle distribuzioni alle seguenti pagine (se la pagina non \u00e8 disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo e Arch (1, 2). Come soluzione alternativa per bloccare la vulnerabilit\u00e0, \u00e8 possibile modificare la regola di accesso all'operazione «org.freedesktop.udisks2.modify-device» in polkit, cambiando nel file \\\/usr\\\/share\\\/polkit-1\\\/actions\\\/org.freedesktop.UDisks2.policy il valore del parametro «allow_active» da «yes» in «auth_admin». <\/p>\n