W j\u0105drze Linux zidentyfikowano dwie podatno\u015bci, kt\u00f3re s\u0105 analogiczne do wcze\u015bniej ujawnionej podatno\u015bci Copy Fail, ale wyst\u0119puj\u0105 w innych podsystemach \u2014 xfrm-ESP i RxRPC. Serii tych podatno\u015bci nadano nazw\u0119 kodow\u0105 Dirty Frag (wspomniana jest tak\u017ce Copy Fail 2). Podatno\u015bci te pozwalaj\u0105 nieuprzywilejowanemu u\u017cytkownikowi uzyska\u0107 uprawnienia roota poprzez zapisanie danych procesu w pami\u0119ci podr\u0119cznej stron. Jest dost\u0119pny exploit dzia\u0142aj\u0105cy na wszystkich aktualnych dystrybucjach Linux. Informacje o podatno\u015bci zosta\u0142y ujawnione przed publikacj\u0105 poprawek, ale istnieje spos\u00f3b na zablokowanie tego problemu. <\/p>\n
Dirty Frag obejmuje dwie r\u00f3\u017cne podatno\u015bci: pierwsza dotyczy modu\u0142u xfrm-ESP, u\u017cywanego do przyspieszania operacji szyfrowania w IPsec z wykorzystaniem protoko\u0142u ESP (Encapsulating Security Payload), a druga dotyczy sterownika RxRPC, implementuj\u0105cego rodzin\u0119 gniazd AF_RXRPC oraz jednolity protok\u00f3\u0142 RPC, dzia\u0142aj\u0105cy na UDP. Ka\u017cda z tych podatno\u015bci pozwala na uzyskanie uprawnie\u0144 roota. Podatno\u015b\u0107 w xfrm-ESP wyst\u0119puje w j\u0105drze Linux od stycznia 2017 roku, a podatno\u015b\u0107 w RxRPC \u2014 od czerwca 2023 roku. Oba problemy s\u0105 spowodowane optymalizacjami, kt\u00f3re umo\u017cliwiaj\u0105 bezpo\u015bredni zapis w pami\u0119ci podr\u0119cznej stron. <\/p>\n
Aby wykorzysta\u0107 luk\u0119 w xfrm-ESP, u\u017cytkownik musi mie\u0107 uprawnienia do tworzenia przestrzeni nazw, a aby wykorzysta\u0107 luk\u0119 w RxRPC, musi mie\u0107 mo\u017cliwo\u015b\u0107 za\u0142adowania modu\u0142u j\u0105dra rxrpc.ko. Na przyk\u0142ad, w Ubuntu zasady AppArmor zakazuj\u0105 nieuprzywilejowanemu u\u017cytkownikowi tworzenia przestrzeni nazw, ale domy\u015blnie modu\u0142 rxrpc.ko jest \u0142adowany. W niekt\u00f3rych dystrybucjach nie ma modu\u0142u rxrpc.ko, ale nie blokuje on tworzenia przestrzeni nazw. Badacz, kt\u00f3ry zidentyfikowa\u0142 problem, przygotowa\u0142 kombinowany exploit, kt\u00f3ry mo\u017ce zaatakowa\u0107 system przez obie luki, co umo\u017cliwia wykorzystanie problemu we wszystkich g\u0142\u00f3wnych dystrybucjach. Dzia\u0142anie exploita potwierdzono w Ubuntu 24.04.4 z j\u0105drem 6.17.0-23, RHEL 10.1 z j\u0105drem 6.12.0-124.49.1, openSUSE Tumbleweed z j\u0105drem 7.0.2-1, CentOS Stream 10 z j\u0105drem 6.12.0-224, AlmaLinux 10 z j\u0105drem 6.12.0-124.52.3 oraz Fedora 44 z j\u0105drem 6.19.14-300. <\/p>\n
Podobnie jak w przypadku luki Copy Fail, problemy w xfrm-ESP i RxRPC s\u0105 wynikiem wykonywania deszyfrowania danych na miejscu z u\u017cyciem funkcji splice(), kt\u00f3ra przekazuje dane mi\u0119dzy deskryptorami plik\u00f3w a kana\u0142ami (pipe) bez kopiowania, poprzez przesy\u0142anie referencji do element\u00f3w w pami\u0119ci podr\u0119cznej strony. Offsety dla operacji zapisu by\u0142y obliczane bez odpowiednich kontroli, kt\u00f3re uwzgl\u0119dnia\u0142yby u\u017cycie bezpo\u015brednich referencji do element\u00f3w w pami\u0119ci podr\u0119cznej strony, co pozwala\u0142o na nadpisanie 4 bajt\u00f3w w wybranym przesuni\u0119ciu poprzez wysy\u0142anie specjalnie sformatowanych zapyta\u0144 i modyfikacj\u0119 zawarto\u015bci dowolnego pliku w pami\u0119ci podr\u0119cznej strony. <\/p>\n
Wszystkie operacje odczytu z plik\u00f3w najpierw zwracaj\u0105 zawarto\u015b\u0107 z pami\u0119ci podr\u0119cznej stron. W przypadku modyfikacji danych w pami\u0119ci podr\u0119cznej stron operacje odczytu z pliku doprowadz\u0105 do zwr\u00f3cenia nie rzeczywi\u015bcie przechowywanych na no\u015bniku informacji, ale zmienionych danych. Wykorzystanie podatno\u015bci polega na zmianie pami\u0119ci podr\u0119cznej stron dla wykonywalnego pliku z flag\u0105 suid root. Na przyk\u0142ad, aby uzyska\u0107 uprawnienia roota, mo\u017cna odczyta\u0107 plik wykonywalny \/usr\/bin\/su, aby umie\u015bci\u0107 go w pami\u0119ci podr\u0119cznej stron, a nast\u0119pnie wstawi\u0107 sw\u00f3j kod do za\u0142adowanej w pami\u0119ci podr\u0119cznej zawarto\u015bci tego pliku. Nast\u0119pne uruchomienie narz\u0119dzia \u201esu\u201d skutkuje za\u0142adowaniem do pami\u0119ci nie oryginalnego pliku wykonywalnego z no\u015bnika, ale zmodyfikowanej kopii z pami\u0119ci podr\u0119cznej stron. <\/p>\n
Ujawienie informacji o lukach i skoordynowane wydanie aktualizacji z rozwi\u0105zaniem problemu by\u0142o zaplanowane na 12 maja, ale z powodu wycieku informacji szczeg\u00f3\u0142y dotycz\u0105ce luki zosta\u0142y opublikowane przed publikacj\u0105 poprawek. Pod koniec kwietnia w publicznej li\u015bcie mailingowej netdev opublikowano \u0142atki do rxrpc, ipsec i xfrm, bez wzmianki, \u017ce s\u0105 zwi\u0105zane z usuni\u0119ciem luki. 5 maja opiekun subsystemu IPsec zaakceptowa\u0142 w repozytorium git netdev zmian\u0119 z proponowan\u0105 poprawk\u0105 w module xfrm-esp, kt\u00f3rej opis w du\u017cej mierze powtarza\u0142 opis problemu, kt\u00f3ry doprowadzi\u0142 do luki Copy Fail w module algif_aead. Jeden z badaczy bezpiecze\u0144stwa zainteresowa\u0142 si\u0119 t\u0105 poprawk\u0105, zdo\u0142a\u0142 stworzy\u0107 dzia\u0142aj\u0105cy exploit i opublikowa\u0142 go, nie wiedz\u0105c, \u017ce ujawnienie informacji na temat problemu do 12 maja by\u0142o obj\u0119te embargo. <\/p>\n