In de Linux-kernel zijn twee kwetsbaarheden ontdekt die vergelijkbaar zijn met de onlangs onthulde kwetsbaarheid Copy Fail, maar zich in andere subsystemen manifesteren \u2014 xfrm-ESP en RxRPC. De reeks kwetsbaarheden heeft de codenaam Dirty Frag gekregen (er is ook melding van Copy Fail 2). Deze kwetsbaarheden stellen een niet-bevoorrechte gebruiker in staat om root-rechten te verkrijgen door gegevens van een proces in de paginacache te overschrijven. Er is een exploit beschikbaar die werkt op alle actuele Linux-distributies. De informatie over de kwetsbaarheid is vrijgegeven voordat de patches zijn gepubliceerd, maar er is een workaround beschikbaar om het probleem te blokkeren. <\/p>\n
Dirty Frag omvat twee verschillende kwetsbaarheden: de eerste in de xfrm-ESP-module, die wordt gebruikt om encryptiebewerkingen in IPsec te versnellen met het ESP-protocol (Encapsulating Security Payload), en de tweede in de RxRPC-driver, die de AF_RXRPC socketfamilie implementeert, evenals het gelijknamige RPC-protocol bovenop UDP. Elke kwetsbaarheid alleen al kan leiden tot het verkrijgen van root-rechten. De kwetsbaarheid in xfrm-ESP is sinds januari 2017 zichtbaar in de Linux-kernel, terwijl de kwetsbaarheid in RxRPC sinds juni 2023 aanwezig is. Beide problemen zijn ontstaan door optimalisaties die directe schrijfoperaties in de paginacache toelaten. <\/p>\n
Om de kwetsbaarheid in xfrm-ESP te exploiteren, moet de gebruiker rechten hebben om namespaces te maken, en voor de kwetsbaarheid in RxRPC moet het mogelijk zijn om de kernelmodule rxrpc.ko te laden. Bijvoorbeeld, in Ubuntu is het voor een niet-bevoorrechte gebruiker verboden om namespaces te maken volgens de AppArmor-regels, maar de rxrpc.ko-module wordt standaard geladen. In sommige distributies is de rxrpc.ko-module niet aanwezig, maar wordt het maken van namespaces niet geblokkeerd. De onderzoeker die het probleem heeft ontdekt, heeft een gecombineerde exploit ontwikkeld die het mogelijk maakt om het systeem via beide kwetsbaarheden aan te vallen, waardoor het probleem in alle belangrijke distributies kan worden ge\u00ebxploiteerd. De werking van de exploit is bevestigd in Ubuntu 24.04.4 met kernel 6.17.0-23, RHEL 10.1 met kernel 6.12.0-124.49.1, openSUSE Tumbleweed met kernel 7.0.2-1, CentOS Stream 10 met kernel 6.12.0-224, AlmaLinux 10 met kernel 6.12.0-124.52.3 en Fedora 44 met kernel 6.19.14-300. <\/p>\n
Zoals bij de Copy Fail-kwetsbaarheid, worden de problemen in xfrm-ESP en RxRPC veroorzaakt door het uitvoeren van gegevensdecryptie ter plaatse met behulp van de splice()-functie, die gegevens tussen bestandshandvaten en pijpen (pipe) doorgeeft zonder te kopi\u00ebren, door referenties op elementen in de paginacache door te geven. De offsets voor de schrijfoperatie werden berekend zonder de juiste controles die rekening houden met het gebruik van directe referenties naar elementen in de paginacache, wat het mogelijk maakte om 4 bytes op de gekozen offset te overschrijven door speciaal gevormde verzoeken te versturen en de inhoud van elk bestand in de paginacache te wijzigen. <\/p>\n
Alle leesoperaties uit bestanden geven in eerste instantie de inhoud terug uit de paginacache. In het geval van gegevenswijzigingen in de paginacache, zullen leesoperaties uit bestanden resulteren in het retourneren van niet echt opgeslagen informatie op de schijf, maar in verandering bracht gegevens. Het benutten van de kwetsbaarheid komt neer op het wijzigen van de paginacache voor een uitvoerbaar bestand met de suid-root vlag. Bijvoorbeeld, om root-rechten te verkrijgen, kan men het uitvoerbare bestand \/usr\/bin\/su lezen om het in de paginacache te plaatsen, waarna men hun eigen code in de geladen inhoud van dit bestand in de paginacache kan injecteren. Een daaropvolgende uitvoering van de 'su'-tool zal ervoor zorgen dat er niet een origineel uitvoerbaar bestand van de schijf aan het geheugen wordt geladen, maar een gewijzigde kopie uit de paginacache. <\/p>\n
De onthulling van informatie over kwetsbaarheden en de geco\u00f6rdineerde release van updates om de problemen op te lossen was gepland voor 12 mei, maar vanwege de informatielekkage moest de informatie over de kwetsbaarheid eerder worden gepubliceerd dan de correcties. Eind april werden er patches voor rxrpc, ipsec en xfrm gepubliceerd op de openbare netdev mailinglijst, zonder te vermelden dat ze verband hielden met het verhelpen van de kwetsbaarheid. Op 5 mei accepteerde de maintainer van de IPsec-subsystemen een wijziging met het voorgestelde herstel voor de module xfrm-esp in de git-repository netdev, waarvan de beschrijving in grote lijnen herhaalde wat het probleem was dat leidde tot de Copy Fail-kwetsbaarheid in de algif_aead-module. Een van de beveiligingsonderzoekers raakte ge\u00efnteresseerd in deze correctie, slaagde erin een werkende exploit te cre\u00ebren en publiceerde deze, niet wetende dat er een embargo was opgelegd op het onthullen van informatie over het probleem tot 12 mei. <\/p>\n