A Qualys identificou uma vulnerabilidade (CVE-2025-6019) na biblioteca libblockdev, que permite, por meio de manipula\u00e7\u00f5es do processo em segundo plano udisks, obter direitos de root no sistema. Um prot\u00f3tipo do exploit foi demonstrado no Ubuntu, Debian, Fedora e openSUSE Leap 15. <\/p>\n
O processo udisks \u00e9 utilizado em praticamente todas as distribui\u00e7\u00f5es Linux e fornece uma interface D-Bus para executar opera\u00e7\u00f5es com dispositivos de armazenamento, como montagem e formata\u00e7\u00e3o. Para realizar a\u00e7\u00f5es com os dispositivos, o udisks chama fun\u00e7\u00f5es da biblioteca libblockdev. O acesso ao udisks \u00e9, por padr\u00e3o, restrito apenas a usu\u00e1rios operando no contexto «allow_active», ou seja, aqueles que t\u00eam acesso f\u00edsico ao computador e se conectaram atrav\u00e9s do console local ou iniciaram uma sess\u00e3o gr\u00e1fica. Usu\u00e1rios que se conectam remotamente, como via ssh, n\u00e3o est\u00e3o nesse contexto e n\u00e3o podem explorar diretamente a vulnerabilidade. <\/p>\n
Para contornar essa limita\u00e7\u00e3o, pode-se utilizar uma manobra que eleva o n\u00edvel de autentica\u00e7\u00e3o para «allow_active» atrav\u00e9s da manipula\u00e7\u00e3o ao iniciar o utilit\u00e1rio systemctl de um servi\u00e7o do usu\u00e1rio, o qual o polkitd interpretar\u00e1 como um sinal de sess\u00e3o local. A ess\u00eancia do m\u00e9todo \u00e9 que o polkitd determina a presen\u00e7a de acesso f\u00edsico e atribui o n\u00edvel «allow_active» com base em ind\u00edcios indiretos que podem ser manipulados. A limita\u00e7\u00e3o desse m\u00e9todo \u00e9 que, para enganar o polkitd, \u00e9 necess\u00e1rio que haja uma sess\u00e3o local de um usu\u00e1rio com acesso f\u00edsico j\u00e1 ativa no sistema. <\/p>\n
O segundo m\u00e9todo para obter os direitos «allow_active» \u00e9 explorar a vulnerabilidade (CVE-2025-6018) no PAM (M\u00f3dulos de Autentica\u00e7\u00e3o Pluggable), que foi identificada por pesquisadores da Qualys durante a an\u00e1lise da vulnerabilidade na libblockdev. A vulnerabilidade permite que qualquer usu\u00e1rio, incluindo aqueles conectados via SSH, realize opera\u00e7\u00f5es no contexto «allow_active». O problema \u00e9 espec\u00edfico das configura\u00e7\u00f5es do PAM nas distribui\u00e7\u00f5es openSUSE Leap 15 e SUSE Linux Enterprise 15, e manifesta-se apenas nessas distribui\u00e7\u00f5es. <\/p>\n
No m\u00f3dulo pam_env no openSUSE e SUSE, a leitura do arquivo ~\/.pam_environment est\u00e1 ativada por padr\u00e3o. Atrav\u00e9s deste arquivo, o usu\u00e1rio pode definir as vari\u00e1veis de ambiente XDG_SEAT=seat0 e XDG_VTNR=1, que durante o processamento ser\u00e3o interpretadas como um sinal de presen\u00e7a f\u00edsica do usu\u00e1rio, mesmo que a entrada tenha sido feita via SSH. O m\u00f3dulo pam_env tamb\u00e9m \u00e9 chamado ao se conectar via ssh no Debian 12 e Ubuntu 24.04 (no Debian 13 e Ubuntu 24.10+ ele est\u00e1 desativado), mas a defini\u00e7\u00e3o das vari\u00e1veis de ambiente nesses distribui\u00e7\u00f5es n\u00e3o pode ser usada para elevar o n\u00edvel de acesso a 'allow_active', pois o pam_env \u00e9 chamado na etapa final ap\u00f3s o carregamento do m\u00f3dulo pam_systemd e as vari\u00e1veis de ambiente definidas n\u00e3o podem influenciar os par\u00e2metros da sess\u00e3o. <\/p>\n
No que diz respeito \u00e0 vulnerabilidade no libblockdev, um invasor pode montar uma imagem de um sistema de arquivos arbitr\u00e1rio em modo loop, colocando nesta imagem um execut\u00e1vel com a flag SUID root ou um dispositivo especial (\/dev\/mem) para acesso de baixo n\u00edvel a discos ou mem\u00f3ria. Para bloquear tais ataques, as imagens do sistema de arquivos s\u00e3o montadas pelo sistema com as flags nosuid e nodev, mas a vulnerabilidade no libblockdev permite montar a imagem sem as flags nosuid e nodev. A ess\u00eancia da vulnerabilidade \u00e9 que o udisks permite que um usu\u00e1rio com n\u00edvel de acesso 'allow_active' mude o tamanho de seus sistemas de arquivos e o libblockdev, durante a execu\u00e7\u00e3o dessa opera\u00e7\u00e3o, monta temporariamente o sistema de arquivos sem definir as flags nosuid e nodev. <\/p>\n
Assim, o ataque se resume \u00e0 cria\u00e7\u00e3o de um dispositivo loop com base na imagem do sistema de arquivos XFS, que cont\u00e9m um arquivo suid root, a inicializa\u00e7\u00e3o da opera\u00e7\u00e3o de mudan\u00e7a de tamanho do dispositivo loop e o acompanhamento do momento em que ele \u00e9 montado no diret\u00f3rio \/tmp\/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup \u2014file .\/xfs.image \u2014no-user-interaction Mapped file .\/xfs.image as \/dev\/loop0. victim> while true; do \/tmp\/blockdev*\/bash -c 'sleep 10; ls -l \/tmp\/blockdev*\/bash' && break; done 2>\/dev\/null & victim> gdbus call \u2014system \u2014dest org.freedesktop.UDisks2 \u2014object-path \/org\/freedesktop\/UDisks2\/block_devices\/loop0 \u2014method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}' Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error resizing filesystem on \/dev\/loop0: Failed to unmount '\/dev\/loop0' after resizing it: target is busy -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 \/tmp\/blockdev.RSM429\/bash victim> \/tmp\/blockdev*\/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody) <\/p>\n
A vulnerabilidade no libblockdev foi corrigida apenas na forma de patches. Para verificar o estado da nova vers\u00e3o do pacote ou a prepara\u00e7\u00e3o de uma corre\u00e7\u00e3o nas distribui\u00e7\u00f5es, consulte as seguintes p\u00e1ginas (se a p\u00e1gina estiver indispon\u00edvel, significa que os desenvolvedores da distribui\u00e7\u00e3o ainda n\u00e3o come\u00e7aram a considerar o problema): Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo e Arch (1, 2). Como alternativa para bloquear a vulnerabilidade, voc\u00ea pode alterar a regra de acesso \u00e0 opera\u00e7\u00e3o «org.freedesktop.udisks2.modify-device» no polkit, modificando no arquivo \/usr\/share\/polkit-1\/actions\/org.freedesktop.UDisks2.policy o valor do par\u00e2metro «allow_active» de «yes» para «auth_admin». <\/p>\n