Nel kernel di Linux sono state individuate due vulnerabilit\u00e0 simili a quella rivelata qualche giorno fa, conosciuta come Copy Fail, ma manifestanti in altre sottosistemi \u2014 xfrm-ESP e RxRPC. Queste serie di vulnerabilit\u00e0 sono state denominate Dirty Frag (si trova anche riferimento a Copy Fail 2). Le vulnerabilit\u00e0 consentono a un utente non privilegiato di ottenere i diritti di root sovrascrivendo i dati del processo nella cache delle pagine. \u00c8 disponibile un exploit funzionante su tutte le moderne distribuzioni Linux. Le informazioni sulla vulnerabilit\u00e0 sono state rivelate prima della pubblicazione delle patch, ma esiste un metodo alternativo per bloccare il problema. <\/p>\n
Dirty Frag comprende due vulnerabilit\u00e0 distinte: la prima nel modulo xfrm-ESP, utilizzato per accelerare le operazioni di crittografia in IPsec con il protocollo ESP (Encapsulating Security Payload), e la seconda nel driver RxRPC, che implementa la famiglia di socket AF_RXRPC e il protocollo RPC omonimo, funzionante sopra UDP. Ognuna di queste vulnerabilit\u00e0 consente di ottenere i diritti di root. La vulnerabilit\u00e0 in xfrm-ESP si manifesta nel kernel di Linux da gennaio 2017, mentre quella in RxRPC \u00e8 presente da giugno 2023. Entrambi i problemi sono causati da ottimizzazioni che consentono la scrittura diretta nella cache delle pagine. <\/p>\n
Per sfruttare la vulnerabilit\u00e0 in xfrm-ESP, l'utente deve avere i diritti per creare spazi dei nomi, mentre per sfruttare la vulnerabilit\u00e0 in RxRPC deve essere possibile caricare il modulo del kernel rxrpc.ko. Ad esempio, in Ubuntu, le regole di AppArmor vietano a un utente non privilegiato di creare spazi dei nomi, ma il modulo rxrpc.ko viene caricato per impostazione predefinita. In alcune distribuzioni, il modulo rxrpc.ko \u00e8 assente, ma non viene bloccata la creazione di spazi dei nomi. Il ricercatore che ha scoperto il problema ha preparato un exploit combinato, capace di attaccare il sistema attraverso entrambe le vulnerabilit\u00e0, permettendo di sfruttare il problema in tutte le principali distribuzioni. L'efficacia dell'exploit \u00e8 stata confermata in Ubuntu 24.04.4 con kernel 6.17.0-23, RHEL 10.1 con kernel 6.12.0-124.49.1, openSUSE Tumbleweed con kernel 7.0.2-1, CentOS Stream 10 con kernel 6.12.0-224, AlmaLinux 10 con kernel 6.12.0-124.52.3 e Fedora 44 con kernel 6.19.14-300. <\/p>\n
Come per la vulnerabilit\u00e0 Copy Fail, i problemi in xfrm-ESP e RxRPC sono causati dall'esecuzione della decrittografia dei dati in loco utilizzando la funzione splice(), che trasmette dati tra i descrittori di file e i pipe senza copiare, passando riferimenti agli elementi nella cache delle pagine. Gli offset per l'operazione di scrittura sono stati calcolati senza adeguati controlli riguardanti l'uso di riferimenti diretti agli elementi nella cache delle pagine, consentendo cos\u00ec, tramite l'invio di richieste appositamente formate, di sovrascrivere 4 byte all'offset scelto e modificare il contenuto di qualsiasi file presente nella cache delle pagine. <\/p>\n
Tutte le operazioni di lettura dai file restituiscono prima di tutto il contenuto dalla cache delle pagine. In caso di modifica dei dati nella cache delle pagine, le letture dai file restituiranno informazioni non realmente memorizzate sul disco, ma dati alterati. Sfruttare questa vulnerabilit\u00e0 comporta la modifica della cache delle pagine per un file eseguibile con il flag suid root. Ad esempio, per ottenere i diritti di root, \u00e8 possibile leggere il file eseguibile \/usr\/bin\/su per inserirlo nella cache delle pagine, dopo di che si pu\u00f2 sovrascrivere il proprio codice nel contenuto di quel file caricato nella cache delle pagine. L'esecuzione successiva del comando 'su' comporter\u00e0 il caricamento in memoria non del file eseguibile originale dal disco, ma di una copia modificata dalla cache delle pagine. <\/p>\n
La divulgazione delle vulnerabilit\u00e0 e il rilascio coordinato degli aggiornamenti correttivi erano programmati per il 12 maggio, ma a causa di una fuga di informazioni i dettagli sulla vulnerabilit\u00e0 sono stati pubblicati prima dell'uscita delle patch. Alla fine di aprile, nella mailing list pubblica di netdev, sono stati pubblicati patch per rxrpc, ipsec e xfrm, senza menzionare che erano collegati alla risoluzione della vulnerabilit\u00e0. Il 5 maggio, il maintainer del sottosistema IPsec ha accettato nel repository git di netdev una modifica con una patch proposta per il modulo xfrm-esp, la cui descrizione ripeteva in gran parte la descrizione del problema alla base della vulnerabilit\u00e0 Copy Fail nel modulo algif_aead. Uno dei ricercatori sulla sicurezza si \u00e8 interessato a questa patch, \u00e8 riuscito a creare un exploit funzionante e lo ha pubblicato, senza sapere che era stato imposto un embargo sulla divulgazione dei dettagli del problema fino al 12 maggio. <\/p>\n