\u00cen nucleul Linux au fost descoperite dou\u0103 vulnerabilit\u0103\u021bi, care sunt \u00een esen\u021b\u0103 similare cu vulnerabilitatea Copy Fail dezv\u0103luit\u0103 cu c\u00e2teva zile \u00een urm\u0103, dar care se manifest\u0103 \u00een alte subsisteme \u2014 xfrm-ESP \u0219i RxRPC. Aceste serii de vulnerabilit\u0103\u021bi au fost botezate Dirty Frag (exist\u0103 \u0219i men\u021biuni despre Copy Fail 2). Vulnerabilit\u0103\u021bile permit unui utilizator non-privilegiat s\u0103 ob\u021bin\u0103 drepturi root, rescrind datele procesului \u00een cache-ul de pagini. Un exploit este disponibil \u0219i func\u021bioneaz\u0103 pe toate distribu\u021biile actuale de Linux. Informa\u021biile despre vulnerabilitate au fost dezv\u0103luite \u00eenainte de publicarea corec\u021biilor, dar exist\u0103 o metod\u0103 alternativ\u0103 de blocare a problemei. <\/p>\n
Dirty Frag acoper\u0103 dou\u0103 vulnerabilit\u0103\u021bi diferite: prima \u00een modulul xfrm-ESP, utilizat pentru accelerarea opera\u021biunilor de criptare \u00een IPsec folosind protocolul ESP (Encapsulating Security Payload), iar a doua \u00een driverul RxRPC, care implementeaz\u0103 familia de socket-uri AF_RXRPC \u0219i protocolul RPC omonim, care func\u021bioneaz\u0103 deasupra UDP. Fiecare dintre vulnerabilit\u0103\u021bi, de sine st\u0103t\u0103tor, permite ob\u021binerea drepturilor root. Vulnerabilitatea din xfrm-ESP se manifest\u0103 \u00een nucleul Linux din ianuarie 2017, iar vulnerabilitatea din RxRPC \u2014 din iunie 2023. Ambele probleme sunt cauzate de optimiz\u0103ri care permit scrierea direct\u0103 \u00een cache-ul de pagini. <\/p>\n
Pentru a exploata vulnerabilitatea din xfrm-ESP, utilizatorul trebuie s\u0103 aib\u0103 drepturi pentru a crea spa\u021bii de nume, iar pentru a exploata vulnerabilitatea din RxRPC, trebuie s\u0103 existe posibilitatea de a \u00eenc\u0103rca modulul kernel rxrpc.ko. De exemplu, \u00een Ubuntu, regulile AppArmor interzic utilizatorului neprivilegiat s\u0103 creeze spa\u021bii de nume, dar modulul rxrpc.ko este \u00eenc\u0103rcat \u00een mod implicit. \u00cen unele distribu\u021bii, modulul rxrpc.ko este lips\u0103, dar nu se blocheaz\u0103 crearea spa\u021biilor de nume. Cercet\u0103torul care a identificat problema a preg\u0103tit un exploit combinat, capabil s\u0103 atace sistemul prin ambele vulnerabilit\u0103\u021bi, ceea ce permite exploatarea problemei \u00een toate distribu\u021biile majore. Func\u021bionarea exploit-ului a fost confirmat\u0103 \u00een Ubuntu 24.04.4 cu nucleul 6.17.0-23, RHEL 10.1 cu nucleul 6.12.0-124.49.1, openSUSE Tumbleweed cu nucleul 7.0.2-1, CentOS Stream 10 cu nucleul 6.12.0-224, AlmaLinux 10 cu nucleul 6.12.0-124.52.3 \u0219i Fedora 44 cu nucleul 6.19.14-300. <\/p>\n
A\u0219a cum s-a \u00eent\u00e2mplat \u0219i \u00een cazul vulnerabilit\u0103\u021bii Copy Fail, problemele din xfrm-ESP \u0219i RxRPC sunt cauzate de decriptarea datelor \u00een locul utiliz\u0103rii func\u021biei splice(), care transmite date \u00eentre descriptorii de fi\u0219iere \u0219i canale (pipe) f\u0103r\u0103 a copia, prin transmiterea referin\u021belor la elementele din cache-ul paginilor. Offseturile pentru opera\u021bia de scriere au fost calculate f\u0103r\u0103 verific\u0103ri adecvate, care s\u0103 \u021bin\u0103 cont de utilizarea referin\u021belor directe la elementele din cache-ul paginilor, ceea ce permitea, prin trimiterea de cereri special concepute, s\u0103 se suprascrie 4 byte la offsetul ales \u0219i s\u0103 se modifice con\u021binutul oric\u0103rui fi\u0219ier din cache-ul paginilor. <\/p>\n
Toate opera\u021biunile de citire din fi\u0219iere returneaz\u0103, \u00een primul r\u00e2nd, con\u021binutul din cache-ul de pagini. \u00cen cazul modific\u0103rii datelor din cache-ul de pagini, opera\u021biunile de citire din fi\u0219ier vor returna informa\u021bii care nu sunt stocate efectiv pe dispozitiv, ci date \u00eenlocuite. Exploatarea vulnerabilit\u0103\u021bii const\u0103 \u00een modificarea cache-ului de pagini pentru un fi\u0219ier executabil cu flagul suid root. De exemplu, pentru a ob\u021bine drepturi root, se poate citi fi\u0219ierul executabil \/usr\/bin\/su pentru a-l plasa \u00een cache-ul de pagini, dup\u0103 care se poate ob\u021bine \u00eenlocuirea propriului cod \u00een con\u021binutul \u00eenc\u0103rcat \u00een cache-ul de pagini al acestui fi\u0219ier. Lansarea ulterioar\u0103 a utilitarului \u201esu\u201d va face ca \u00een memorie s\u0103 fie \u00eenc\u0103rcat nu fi\u0219ierul executabil original din stocare, ci o copie modificat\u0103 din cache-ul de pagini. <\/p>\n
Divulgarea informa\u021biilor despre vulnerabilit\u0103\u021bi \u0219i lansarea coordonat\u0103 a actualiz\u0103rilor care rezolv\u0103 problemele a fost programat\u0103 pentru 12 mai, dar din cauza scurgerii de informa\u021bii, detaliile despre vulnerabilitate au fost publicate \u00eenainte de lansarea corecturilor. La sf\u00e2r\u0219itul lunii aprilie, pe lista de discu\u021bii publice netdev au fost publicate patch-uri pentru rxrpc, ipsec \u0219i xfrm, f\u0103r\u0103 a men\u021biona c\u0103 acestea sunt legate de remedierea vulnerabilit\u0103\u021bii. Pe 5 mai, men\u021bionatorul subsistemului IPsec a acceptat \u00een depozitul git netdev o modificare cu o corec\u021bie propus\u0103 \u00een modul xfrm-esp, descrierea c\u0103reia repeta \u00een mare parte descrierea problemei care a dus la vulnerabilitatea Copy Fail \u00een modul algif_aead. Unul dintre cercet\u0103torii \u00een securitate s-a ar\u0103tat interesat de aceast\u0103 corec\u021bie, a reu\u0219it s\u0103 creeze un exploit func\u021bional \u0219i l-a publicat, f\u0103r\u0103 a \u0219ti c\u0103 divulgarea informa\u021biilor despre problem\u0103 a fost supus\u0103 unui embargo p\u00e2n\u0103 pe 12 mai. <\/p>\n