Linux-ის ბირთვის დაუცველობა Chrome-ის sandbox იზოლაციის გვერდის ავლის საშუალებას იძლევა

Google-ის უსაფრთხოების მკვლევრებმა Linux-ის ბირთვში აღმოაჩინეს დაუცველობა (CVE-2025-38236), რომელიც პრივილეგიების ესკალაციის საშუალებას იძლევა. სხვა საკითხებთან ერთად, დაუცველობა საშუალებას იძლევა გვერდი ავუაროთ Google Chrome-ში გამოყენებული sandbox იზოლაციის მექანიზმს და მივაღწიოთ ბირთვის დონის კოდის შესრულებას, როდესაც კოდი იზოლირებული Chrome-ის რენდერინგის პროცესის კონტექსტში სრულდება (მაგალითად, Chrome-ში სხვა დაუცველობის ექსპლუატაციისას). პრობლემა Linux-ის ბირთვის 6.9 ვერსიიდან იწყება და გამოსწორდა Linux-ის ბირთვის განახლებებში 6.1.143, 6.6.96, 6.12.36 და 6.15.5. ექსპლოიტის პროტოტიპი ხელმისაწვდომია ჩამოსატვირთად.

დაუცველობა გამოწვეულია MSG_OOB დროშის იმპლემენტაციის შეცდომით, რომლის დაყენებაც შესაძლებელია AF_UNIX სოკეტებისთვის. MSG_OOB („ზოლიდან გამოსული“) დროშა საშუალებას იძლევა გაგზავნილ მონაცემებს დაურთონ დამატებითი ბაიტი, რომლის წაკითხვაც მიმღებს შეუძლია დანარჩენი მონაცემების მიღებამდე. ეს დროშა დაემატა Linux 5.15 ბირთვს Oracle-ის მოთხოვნით და გასულ წელს მისი გაუქმების შესახებ იყო შემოთავაზებული, რადგან ის ფართოდ არ გამოიყენებოდა.

Chrome-ის sandbox იმპლემენტაცია UNIX სოკეტის ოპერაციებს და send()/recv() სისტემურ გამოძახებებს უშვებდა, სადაც MSG_OOB ფლაგიც დაშვებული იყო სხვა ვარიანტებთან ერთად და ცალკე არ იფილტრებოდა. MSG_OOB იმპლემენტაციაში არსებული შეცდომის გამო, სისტემური გამოძახებების გარკვეული თანმიმდევრობის შესრულების შემდეგ, წარმოიშვა use-after-free პირობა: char dummy; int socks[2]; socketpair(AF_UNIX, SOCK_STREAM, 0, socks); send(socks[1], "A", 1, MSG_OOB); recv(socks[0], &dummy, 1, MSG_OOB); send(socks[1], "A", 1, MSG_OOB); recv(socks[0], &dummy, 1, MSG_OOB); send(socks[1], "A", 1, MSG_OOB); recv(socks[0], &dummy, 1, MSG_OOB); send(socks[0], "A", 0, MSG_OOB); recv(socks[1], &dummy, XNUMX, MSG_OOB); send(socks[XNUMX], "A", XNUMX, MSG_OOB); recv(socks[XNUMX], &dummy, XNUMX, MSG_OOB); recv(წინდები[XNUMX], &dummy, XNUMX, MSG_OOB);

წყარო: opennet.ru