Het bedrijf Qualys heeft een kwetsbaarheid (CVE-2025-6019) ontdekt in de libblockdev-bibliotheek, waardoor iemand via manipulaties met het achtergrondproces udisks rootrechten in het systeem kan verkrijgen. Een prototype van de exploit is gedemonstreerd in Ubuntu, Debian, Fedora en openSUSE Leap 15. <\/p>\n
Het udisks-proces wordt toegepast in vrijwel alle Linux-distributies en biedt een D-Bus-interface voor het uitvoeren van bewerkingen met opslagapparaten, zoals het monteren en formatteren ervan. Voor het uitvoeren van acties op opslagapparaten roept udisks functies aan van de libblockdev-bibliotheek. Toegang tot udisks is standaard alleen toegestaan voor gebruikers die werken in de context van 'allow_active', dat wil zeggen gebruikers met fysieke toegang tot de computer en die zijn ingelogd via de lokale console of een grafische sessie zijn gestart. Gebruikers die op afstand inloggen, bijvoorbeeld via ssh, vallen niet binnen deze context en kunnen de kwetsbaarheid niet direct uitbuiten. <\/p>\n
Om deze beperking te omzeilen, kan een truc worden gebruikt die het authenticatieniveau naar 'allow_active' verhoogt door manipulatie van het starten van de systeemtool systemctl voor een gebruikersservice, die door polkitd wordt ge\u00efnterpreteerd als een teken van een lokale sessie. Het principe van de methode is dat polkitd fysiek toegang controleert en het niveau 'allow_active' toekent op basis van indirecte signalen die be\u00efnvloed kunnen worden. De beperking van de methode is dat het nodig is om in het systeem al een actieve sessie van een lokale gebruiker met fysieke toegang te hebben. <\/p>\n
De tweede methode om 'allow_active' rechten te verkrijgen, is de exploitatie van een kwetsbaarheid (CVE-2025-6018) in PAM (Pluggable Authentication Modules), die door onderzoekers van Qualys is ontdekt tijdens hun analyse van een kwetsbaarheid in libblockdev. Deze kwetsbaarheid stelt elke gebruiker, inclusief diegene die via SSH is aangenaam, in staat om bewerkingen uit te voeren in de context van 'allow_active'. Het probleem is specifiek voor PAM-configuraties in openSUSE Leap 15 en SUSE Linux Enterprise 15, en manifesteert zich alleen in deze distributies. <\/p>\n
In de pam_env-module in openSUSE en SUSE is standaard de lezing van het bestand ~\/.pam_environment ingeschakeld. Via dit bestand kan de gebruiker de omgevingsvariabelen XDG_SEAT=seat0 en XDG_VTNR=1 instellen, die bij verdere verwerking kunnen worden ge\u00efnterpreteerd als een teken van de fysieke aanwezigheid van de gebruiker, ook al is de inlog daadwerkelijk via SSH uitgevoerd. De pam_env-module wordt ook aangeroepen bij SSH-verbindingen in Debian 12 en Ubuntu 24.04 (in Debian 13 en Ubuntu 24.10+ is deze uitgeschakeld), maar het instellen van omgevingsvariabelen in deze distributies kan niet worden gebruikt om toegangsniveaus naar 'allow_active' te verhogen, omdat pam_env wordt aangeroepen in de laatste fase, na het laden van de pam_systemd-module, en de ingestelde omgevingsvariabelen kunnen geen invloed hebben op de sessieparameters. <\/p>\n
Wat betreft de kwetsbaarheid in libblockdev, kan een aanvaller een schijfkopie van een willekeurig bestandssysteem in loopmodus monteren, door een uitvoerbaar bestand met de SUID root-vlag in deze schijfkopie te plaatsen of een speciaal apparaat (\/dev\/mem) voor laagdrempelige toegang tot schijven of geheugen te gebruiken. Om dergelijke aanvallen te blokkeren, worden bestandssysteem-images door het systeem gemonteerd met de vlaggen nosuid en nodev, maar de kwetsbaarheid in libblockdev maakt het mogelijk om een afbeelding zonder de vlaggen nosuid en nodev te monteren. De kern van de kwetsbaarheid is dat udisks gebruikers met toegangsniveau 'allow_active' toestaat om de grootte van hun bestandssystemen te wijzigen, en libblockdev tijdens deze bewerking tijdelijk het bestandssysteem monteert zonder de vlaggen nosuid en nodev in te stellen. <\/p>\n
De aanval richt zich dus op het cre\u00ebren van een loop-apparaat op basis van een XFS-bestandssysteem-image, waarin een suid root-bestand is geplaatst, het in gang zetten van de bewerking voor het wijzigen van de grootte van het loop-apparaat en het volgen van het moment waarop het in de map \/tmp\/blockdev* wordt gemonteerd: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup --file .\/xfs.image --no-user-interaction Mapped file .\/xfs.image as \/dev\/loop0. victim> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call --system --dest org.freedesktop.UDisks2 --object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error resizing filesystem on \/dev\/loop0: Failed to unmount '\/dev\/loop0' after resizing it: target is busy -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody) <\/p>\n
De kwetsbaarheid in libblockdev is voorlopig alleen verholpen in de vorm van patches. De status van een nieuwe versie van het pakket of de voorbereiding van een oplossing in de distributies kan gecontroleerd worden op de volgende pagina's (als de pagina niet toegankelijk is, betekent dit dat de ontwikkelaars van de distributie nog niet zijn begonnen met het onderzoeken van het probleem): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo en Arch (1, 2). Als tijdelijke oplossing om de kwetsbaarheid te blokkeren, kan de toegangsregel voor de operatie «org.freedesktop.udisks2.modify-device» in polkit worden gewijzigd, door in het bestand \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy de waarde van de parameter «allow_active» van «yes» naar «auth_admin» te wijzigen. <\/p>\n