Firma Qualys zidentyfikowa\u0142a luk\u0119 (CVE-2025-6019) w bibliotece libblockdev, kt\u00f3ra pozwala na uzyskanie uprawnie\u0144 root w systemie poprzez manipulacje z t\u0142em procesu udisks. Dzia\u0142anie prototypowego exploita zosta\u0142o zaprezentowane w systemach Ubuntu, Debian, Fedora i openSUSE Leap 15. <\/p>\n
Proces udisks jest stosowany w praktycznie wszystkich dystrybucjach Linuxa i zapewnia interfejs D-Bus do wykonywania operacji na no\u015bnikach, takich jak montowanie i formatowanie. W celu przeprowadzenia dzia\u0142a\u0144 na no\u015bnikach, udisks wywo\u0142uje funkcje biblioteki libblockdev. Dost\u0119p do udisks jest domy\u015blnie otwarty tylko dla u\u017cytkownik\u00f3w pracuj\u0105cych w kontek\u015bcie «allow_active», tj. maj\u0105cych fizyczny dost\u0119p do komputera i pod\u0142\u0105czonych przez lokaln\u0105 konsol\u0119 lub uruchamiaj\u0105cych graficzn\u0105 sesj\u0119. U\u017cytkownicy \u0142\u0105cz\u0105cy si\u0119 zdalnie, na przyk\u0142ad przez SSH, nie trafiaj\u0105 w ten kontekst i nie mog\u0105 bezpo\u015brednio wykorzysta\u0107 podatno\u015bci. <\/p>\n
Aby obej\u015b\u0107 to ograniczenie, mo\u017cna u\u017cy\u0107 sztuczki, kt\u00f3ra podnosi poziom uwierzytelnienia do «allow_active» poprzez manipulacj\u0119 uruchamianiem us\u0142ug u\u017cytkownika za pomoc\u0105 polecenia systemctl, kt\u00f3re polkitd zinterpretuje jako oznak\u0119 lokalnej sesji. Istota metody polega na tym, \u017ce polkitd okre\u015bla fizyczny dost\u0119p i przypisuje poziom «allow_active» na podstawie po\u015brednich oznak, na kt\u00f3re mo\u017cna wp\u0142ywa\u0107. Ograniczenia metody polegaj\u0105 na tym, \u017ce aby oszuka\u0107 polkitd, musi ju\u017c by\u0107 aktywna sesja lokalnego u\u017cytkownika z fizycznym dost\u0119pem. <\/p>\n
Drug\u0105 metod\u0105 uzyskania praw «allow_active» jest wykorzystanie podatno\u015bci (CVE-2025-6018) w PAM (Pluggable Authentication Modules), kt\u00f3r\u0105 badacze z Qualys zidentyfikowali podczas analizy podatno\u015bci w libblockdev. Podatno\u015b\u0107 umo\u017cliwia dowolnemu u\u017cytkownikowi, w tym osobom \u0142\u0105cz\u0105cym si\u0119 przez SSH, wykonywanie operacji w kontek\u015bcie «allow_active». Problem jest specyficzny dla ustawie\u0144 PAM w openSUSE Leap 15 i SUSE Linux Enterprise 15 oraz wyst\u0119puje tylko w tych dystrybucjach. <\/p>\n
Modu\u0142 pam_env w openSUSE i SUSE domy\u015blnie w\u0142\u0105cza odczyt pliku ~\/.pam_environment. Dzi\u0119ki temu plikowi u\u017cytkownik mo\u017ce ustawi\u0107 zmienne \u015brodowiskowe XDG_SEAT=seat0 i XDG_VTNR=1, kt\u00f3re w dalszym przetwarzaniu b\u0119d\u0105 traktowane jako oznaka fizycznej obecno\u015bci u\u017cytkownika, nawet je\u015bli logowanie mia\u0142o miejsce przez SSH. Modu\u0142 pam_env jest r\u00f3wnie\u017c wywo\u0142ywany podczas po\u0142\u0105czenia przez SSH w Debianie 12 i Ubuntu 24.04 (w Debianie 13 i Ubuntu 24.10+ zosta\u0142 wy\u0142\u0105czony), ale ustawienie zmiennych \u015brodowiskowych w tych dystrybucjach nie mo\u017ce by\u0107 u\u017cyte do podniesienia poziomu dost\u0119pu do 'allow_active', poniewa\u017c pam_env jest wywo\u0142ywany na ko\u0144cowym etapie po za\u0142adowaniu modu\u0142u pam_systemd, a ustawione zmienne \u015brodowiskowe nie mog\u0105 wp\u0142yn\u0105\u0107 na parametry sesji. <\/p>\n
Je\u015bli chodzi o podatno\u015b\u0107 w libblockdev, atakuj\u0105cy mo\u017ce zamontowa\u0107 obraz dowolnego systemu plik\u00f3w w trybie loop, umieszczaj\u0105c w tym obrazie plik wykonywalny z flag\u0105 SUID root lub specjalne urz\u0105dzenie (\/dev\/mem) umo\u017cliwiaj\u0105ce niskopoziomowy dost\u0119p do dysk\u00f3w lub pami\u0119ci. Aby zablokowa\u0107 tego typu ataki, obrazy FS s\u0105 montowane przez system z flagami nosuid i nodev, ale podatno\u015b\u0107 w libblockdev umo\u017cliwia zamontowanie obrazu bez flag nosuid i nodev. Sedno podatno\u015bci polega na tym, \u017ce udisks pozwala u\u017cytkownikowi z poziomem dost\u0119pu 'allow_active' zmienia\u0107 rozmiar swoich system\u00f3w plik\u00f3w, a libblockdev tymczasowo montuje FS bez ustalania flag nosuid i nodev podczas tej operacji. <\/p>\n
Tak wi\u0119c atak sprowadza si\u0119 do stworzenia urz\u0105dzenia loop na podstawie obrazu FS XFS, w kt\u00f3rym umieszczony jest plik suid root, zainicjowania operacji zmiany rozmiaru urz\u0105dzenia loop i \u015bledzenia momentu jego zamontowania w katalogu \/tmp\/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup \u2014file .\/xfs.image \u2014no-user-interaction Przypisany plik .\/xfs.image jako \/dev\/loop0. victim> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call \u2014system \u2014dest org.freedesktop.UDisks2 \u2014object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 \u2014method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' B\u0142\u0105d: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: B\u0142\u0105d podczas zmiany rozmiaru systemu plik\u00f3w na \/dev\/loop0: Nie uda\u0142o si\u0119 odmontowa\u0107 '\/dev\/loop0' po jego zmianie: cel jest zaj\u0119ty -r-sr-xr-x. 1 root root 1406608 Cze 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody) <\/p>\n
Luka w libblockdev zosta\u0142a naprawiona tylko w postaci poprawek. Aby sprawdzi\u0107 stan nowej wersji pakietu lub przygotowania poprawy w dystrybucjach, mo\u017cna odwiedzi\u0107 nast\u0119puj\u0105ce strony (je\u015bli strona jest niedost\u0119pna, oznacza to, \u017ce deweloperzy dystrybucji jeszcze nie zaj\u0119li si\u0119 problemem): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo i Arch (1, 2). Jako obej\u015bcia dla zablokowania luki, mo\u017cna zmieni\u0107 regu\u0142\u0119 dost\u0119pu do operacji «org.freedesktop.udisks2.modify-device» w polkit, zmieniaj\u0105c w pliku \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy warto\u015b\u0107 parametru «allow_active» z «yes» na «auth_admin». <\/p>\n