Het bedrijf Qualys heeft twee kwetsbaarheden ontdekt in de tools apport (CVE-2025-5054) en systemd-coredump (CVE-2025-4598), die worden gebruikt voor het verwerken van corebestanden die worden gegenereerd na een onverwachte be\u00ebindiging van processen. De kwetsbaarheden maken toegang tot corebestanden mogelijk die zijn opgeslagen na het onverwacht be\u00ebindigen van suid-applicaties of bepaalde systeemachtergrondprocessen, die mogelijk gecachete inloggegevens of encryptiesleutels in het geheugen bevatten. De tool apport wordt automatisch aangeroepen om core-dumps op te slaan in Ubuntu, terwijl systemd-coredump in Red Hat Enterprise Linux 9+, Fedora en vele andere Linux-distributies wordt gebruikt. <\/p>\n
Een aanvalstechniek is gedemonstreerd waarbij omstandigheden werden gecre\u00eberd voor de onverwachte be\u00ebindiging van de suid-applicatie unix_chkpwd en toegang werd verkregen tot het corebestand met de statusdump tijdens de crash. In de opgeslagen core-dump waren de hashes van de gebruikerswachtwoorden van het systeem aanwezig, die in het geheugen van het onverwacht be\u00ebindigde proces bleven na het laden van de inhoud van \/etc\/shadow. De mogelijkheid om de kwetsbaarheden te exploiteren werd gedemonstreerd in Ubuntu 24.04 en Fedora 40\/41, maar het wordt verondersteld dat ook andere distributies aan soortgelijke aanvallen onderhevig zijn. <\/p>\n
Beide kwetsbaarheden worden veroorzaakt door een raceconditie die het mogelijk maakt om het onverwacht be\u00ebindigde suid-proces te vervangen door een ander proces op het moment na de verwerking van de crashdoor het kernel, maar voordat de handler in de gebruikersruimte de procesparameters via \/proc\/pid\/files controleert. De aanroep van apport en systemd-coredump gebeurt als volgt: de kernel, na informatie over de crash van het proces te hebben ontvangen, roept de handler aan, zoals aangegeven in het bestand \/proc\/sys\/kernel\/core_pattern, en geeft vervolgens de inhoud van de core-dump door via de invoerstroom. <\/p>\n
De generatie van de core-dump en het starten van de handler gebeurt niet onmiddellijk en deze tijd is voldoende om het be\u00ebindigde suid-proces te vervangen door een normaal gebruikersproces. In het geval van vervanging zal de actieve handler voor core-dumps denken dat de fout niet heeft plaatsgevonden in het suid-proces, maar in een normale gebruikersapplicatie en zal zodoende het corebestand opslaan met toegangsrechten voor een gewone gebruiker in plaats van alleen voor de beheerder. <\/p>\n
De aanval op apport kan worden samengevat in de volgende stappen: <\/p>\n
Om voor het nieuwe proces de benodigde identificator te verkrijgen, die overeenkomt met de identificator van het suid-proces, wordt het suid-proces gestopt met het SIGSTOP-signaal voordat het SIGSEGV-signaal wordt verzonden, en tijdens de stop worden er cyclisch nieuwe processen gestart totdat een PID met een voorafgaand nummer, dicht bij het vervangbare suid-proces, is verkregen. Na het verschuiven van de PID-nummering worden de SIGSEGV- en SIGCONT-signalen naar het suid-proces gestuurd, waarna SIGKILL wordt verzonden en cyclisch nieuwe processen worden gestart om dezelfde PID te bereiken als die van het suid-proces. <\/p>\n
Wat betreft systemd-coredump is het aan de ene kant eenvoudiger om een aanval op hem uit te voeren, omdat het niet nodig is om een suid-proces te vervangen door een proces in een aparte gebruikersruimte, en het alleen nodig is om overeenstemming te bereiken tussen AT_UID en AT_EUID. Aan de andere kant is systemd-coredump geschreven in C en wordt het vrij snel uitgevoerd, wat minder tijd geeft voor vervanging, in tegenstelling tot apport, dat in Python is geschreven en tijdens de initialisatie verschillende pyc-bestanden laadt. Dit probleem kan worden opgelost door systemd-coredump kunstmatig te vertragen \u2014 bij het aanroepen van het suid-bestand worden een groot aantal commandoregelargumenten doorgegeven, wat de benodigde vertraging cre\u00ebert die optreedt tijdens de parsing van \/proc\/pid\/cmdline. <\/p>\n
Tijdens de analyse van kwetsbaarheden hebben onderzoekers ook ontdekt dat systemd-coredump bij het instellen van de aanroep de vlag '%d' niet opgeeft in \/proc\/sys\/kernel\/core_pattern, wat het voor een aanvaller mogelijk maakt om onverwacht te be\u00ebindigen achtergrondprocessen die met root-rechten draaien en andere processen af te splitsen met een wijziging van de gebruikersidentificatie naar een niet-privilege gebruiker waaronder de aanval plaatsvindt. Deze mogelijkheid maakt het mogelijk om niet alleen aanvallen op setuid-applicaties uit te voeren, maar ook op processen zoals sshd-sessie (OpenSSH), sd-pam (systemd) en cron, om toegang te krijgen tot vertrouwelijke gegevens die in hun geheugen zijn opgeslagen, zoals priv\u00e9sleutels, wachtwoord-hashes uit \/etc\/shadow, kanarie-merken uit de stack en gegevens voor het omzeilen van address space randomization (ASLR). <\/p>\n