Nel kernel Linux sono state scoperte due vulnerabilit\u00e0, sostanzialmente simili alla vulnerabilit\u00e0 Copy Fail resa nota alcuni giorni fa, ma manifestantesi in altre sottosistemi\u2014xfrm-ESP e RxRPC. A queste vulnerabilit\u00e0 \u00e8 stato assegnato il nome in codice Dirty Frag (viene anche menzionato Copy Fail 2). Le vulnerabilit\u00e0 consentono a un utente non privilegiato di ottenere i diritti di root sovrascrivendo i dati di un processo nella cache delle pagine. \u00c8 disponibile un exploit che funziona in tutte le distribuzioni Linux attuali. Le informazioni sulle vulnerabilit\u00e0 sono state rese note prima della pubblicazione delle patch, ma esiste un metodo alternativo per bloccare il problema. <\/p>\n
Dirty Frag comprende due vulnerabilit\u00e0 diverse: la prima nel modulo xfrm-ESP, utilizzato per accelerare le operazioni di crittografia in IPsec utilizzando il protocollo ESP (Encapsulating Security Payload), e la seconda nel driver RxRPC, che implementa la famiglia di socket AF_RXRPC e il corrispondente protocollo RPC che opera su UDP. Ognuna delle vulnerabilit\u00e0 consente singolarmente di ottenere diritti di root. La vulnerabilit\u00e0 in xfrm-ESP si manifesta nel kernel Linux da gennaio 2017, mentre la vulnerabilit\u00e0 in RxRPC \u00e8 presente da giugno 2023. Entrambi i problemi sono causati da ottimizzazioni che consentono la scrittura diretta nella cache delle pagine. <\/p>\n
Per sfruttare la vulnerabilit\u00e0 in xfrm-ESP, l'utente deve avere diritti per creare spazi dei nomi, mentre per sfruttare la vulnerabilit\u00e0 in RxRPC deve essere possibile caricare il modulo del kernel rxrpc.ko. Ad esempio, su Ubuntu, le regole di AppArmor vietano a un utente non privilegiato di creare spazi dei nomi, ma per impostazione predefinita viene caricato il modulo rxrpc.ko. In alcune distribuzioni non \u00e8 presente il modulo rxrpc.ko, ma non viene bloccata la creazione di spazi dei nomi. Il ricercatore che ha identificato il problema ha preparato un exploit combinato, capace di attaccare il sistema attraverso entrambe le vulnerabilit\u00e0, consentendo di sfruttare il problema in tutte le principali distribuzioni. Il funzionamento dell'exploit \u00e8 stato confermato su Ubuntu 24.04.4 con kernel 6.17.0-23, RHEL 10.1 con kernel 6.12.0-124.49.1, openSUSE Tumbleweed con kernel 7.0.2-1, CentOS Stream 10 con kernel 6.12.0-224, AlmaLinux 10 con kernel 6.12.0-124.52.3 e Fedora 44 con kernel 6.19.14-300. <\/p>\n
Come nel caso della vulnerabilit\u00e0 Copy Fail, i problemi in xfrm-ESP e RxRPC sono causati dall'esecuzione della decrittazione dei dati in loco, utilizzando la funzione splice(), che trasferisce dati tra descrittori di file e pipe senza copiare, attraverso il passaggio di riferimenti agli elementi nella cache di pagina. Gli offset per l'operazione di scrittura venivano calcolati senza adeguate verifiche, considerando l'uso di riferimenti diretti agli elementi nella cache di pagina, il che permetteva, tramite l'invio di richieste opportunamente formattate, di sovrascrivere 4 byte a un offset scelto e modificare il contenuto di qualsiasi file presente nella cache di pagina. <\/p>\n
Tutte le operazioni di lettura dai file restituiscono prima il contenuto dalla cache delle pagine. In caso di modifica dei dati nella cache delle pagine, le operazioni di lettura dai file restituiranno informazioni non realmente archiviate sullo storage, ma dati alterati. Sfruttare la vulnerabilit\u00e0 consiste nel modificare la cache delle pagine per un file eseguibile con il flag suid root. Ad esempio, per ottenere i diritti di root, \u00e8 possibile leggere il file eseguibile \/usr\/bin\/su per inserirlo nella cache delle pagine, dopodich\u00e9 \u00e8 possibile sostituire il proprio codice nel contenuto caricato nella cache delle pagine di quel file. Successivamente, l'esecuzione dello strumento 'su' porter\u00e0 al caricamento in memoria non del file eseguibile originale dallo storage, ma di una copia modificata dalla cache delle pagine. <\/p>\n
La divulgazione delle informazioni sulle vulnerabilit\u00e0 e il rilascio coordinato degli aggiornamenti per risolvere i problemi era previsto per il 12 maggio, ma a causa di una fuga di informazioni, i dati sulla vulnerabilit\u00e0 sono stati pubblicati prima della pubblicazione delle correzioni. Alla fine di aprile, nella lista di distribuzione pubblica netdev sono stati pubblicati patch per rxrpc, ipsec e xfrm, senza menzionare che erano collegati alla risoluzione della vulnerabilit\u00e0. Il 5 maggio, il maintainer del sottosistema IPsec ha accettato nel repository git netdev una modifica con una correzione proposta nel modulo xfrm-esp, la cui descrizione ripeteva in gran parte quella del problema che aveva portato alla vulnerabilit\u00e0 Copy Fail nel modulo algif_aead. Uno dei ricercatori sulla sicurezza si \u00e8 interessato a questa correzione, \u00e8 riuscito a creare un exploit funzionante e lo ha pubblicato, senza sapere che era stato imposto un embargo sulla divulgazione delle informazioni sul problema fino al 12 maggio. <\/p>\n