V jadre Linux boli zisten\u00e9 dve zranite\u013enosti, ktor\u00e9 s\u00fa svojou podstatou podobn\u00e9 ned\u00e1vno objavenej zranite\u013enosti Copy Fail, ale prejavuj\u00fa sa v in\u00fdch subsyst\u00e9moch -- xfrm-ESP a RxRPC. T\u00fdmto s\u00e9ri\u00e1m zranite\u013enost\u00ed bolo pridelen\u00e9 k\u00f3dov\u00e9 meno Dirty Frag (takisto sa objavuje pomenovanie Copy Fail 2). Zranite\u013enosti umo\u017e\u0148uj\u00fa neprivilegovan\u00e9mu pou\u017e\u00edvate\u013eovi z\u00edska\u0165 pr\u00e1va root prepisovan\u00edm \u00fadajov procesu v str\u00e1nkovacej cache. Exploit je dostupn\u00fd a funguje vo v\u0161etk\u00fdch aktu\u00e1lnych distrib\u00faci\u00e1ch Linuxu. Inform\u00e1cie o zranite\u013enosti boli zverejnen\u00e9 pred publikovan\u00edm opr\u00e1v, ale existuje obch\u00e1dzaj\u00faca met\u00f3da, ako probl\u00e9m zablokova\u0165. <\/p>\n
Dirty Frag pokr\u00fdva dve r\u00f4zne zranite\u013enosti: prv\u00e1 je v module xfrm-ESP, ktor\u00fd sa pou\u017e\u00edva na zr\u00fdchlenie oper\u00e1ci\u00ed \u0161ifrovania v IPsec pomocou protokolu ESP (Encapsulating Security Payload), a druh\u00e1 je v ovl\u00e1da\u010di RxRPC, ktor\u00fd realizuje rodinu soketov AF_RXRPC a rovnomenn\u00fd RPC protokol, funguj\u00faci nad UDP. Ka\u017ed\u00e1 zo zranite\u013enost\u00ed samostatne umo\u017e\u0148uje z\u00edska\u0165 pr\u00e1va root. Zranite\u013enos\u0165 v xfrm-ESP sa prejavuje v jadre Linux od janu\u00e1ra 2017, zatia\u013e \u010do zranite\u013enos\u0165 v RxRPC od j\u00fana 2023. Obe probl\u00e9my s\u00fa sp\u00f4soben\u00e9 optimaliz\u00e1ciami, ktor\u00e9 umo\u017e\u0148uj\u00fa priamy z\u00e1pis do str\u00e1nkovacej cache. <\/p>\n
Na vyu\u017eitie zranite\u013enosti v xfrm-ESP mus\u00ed ma\u0165 pou\u017e\u00edvate\u013e pr\u00e1va na vytv\u00e1ranie priestorov mien, a na vyu\u017eitie zranite\u013enosti v RxRPC mus\u00ed by\u0165 mo\u017enos\u0165 na\u010d\u00edta\u0165 modul jadra rxrpc.ko. Napr\u00edklad v Ubuntu pravidl\u00e1 AppArmor zakazuj\u00fa nepriviligovan\u00e9mu pou\u017e\u00edvate\u013eovi vytv\u00e1ranie priestorov mien, ale modul rxrpc.ko je predvolene na\u010d\u00edtan\u00fd. V niektor\u00fdch distrib\u00faci\u00e1ch modul rxrpc.ko ch\u00fdba, ale vytvorenie priestorov mien nie je blokovan\u00e9. V\u00fdskumn\u00edk, ktor\u00fd objavil probl\u00e9m, pripravil kombinovan\u00fd exploit, ktor\u00fd m\u00f4\u017ee za\u00fato\u010di\u0165 na syst\u00e9m cez obe zranite\u013enosti, \u010do umo\u017e\u0148uje zneu\u017eitie probl\u00e9mu vo v\u0161etk\u00fdch hlavn\u00fdch distrib\u00faci\u00e1ch. Funk\u010dnos\u0165 exploitu bola potvrden\u00e1 v Ubuntu 24.04.4 s jadrom 6.17.0-23, RHEL 10.1 s jadrom 6.12.0-124.49.1, openSUSE Tumbleweed s jadrom 7.0.2-1, CentOS Stream 10 s jadrom 6.12.0-224, AlmaLinux 10 s jadrom 6.12.0-124.52.3 a Fedora 44 s jadrom 6.19.14-300. <\/p>\n
Ako v pr\u00edpade zranite\u013enosti Copy Fail, probl\u00e9my v xfrm-ESP a RxRPC s\u00fa sp\u00f4soben\u00e9 vykon\u00e1van\u00edm de\u0161ifrovania d\u00e1t na mieste s pou\u017eit\u00edm funkcie splice(), ktor\u00e1 pren\u00e1\u0161a d\u00e1ta medzi s\u00faborov\u00fdmi popisova\u010dmi a kan\u00e1lmi (pipe) bez kop\u00edrovania, prenosom odkazov na prvky v str\u00e1nkovom cache. Offsety pre z\u00e1pisov\u00fa oper\u00e1ciu sa vypo\u010d\u00edtavali bez riadnych kontrol, ktor\u00e9 by zoh\u013eadnili pou\u017eitie priameho odkazu na prvky v str\u00e1nkovom cache, \u010do umo\u017enilo cez zasielanie \u0161peci\u00e1lne upraven\u00fdch po\u017eiadaviek prep\u00edsa\u0165 4 bajty na zvolen\u00fd offset a zmeni\u0165 obsah ak\u00e9hoko\u013evek s\u00faboru nach\u00e1dzaj\u00faceho sa v str\u00e1nkovom cache. <\/p>\n
V\u0161etky oper\u00e1cie \u010d\u00edtania z s\u00faborov najprv vracaj\u00fa obsah zo str\u00e1nkovacej cache. V pr\u00edpade modifik\u00e1cie \u00fadajov v str\u00e1nkovacej cache \u010d\u00edtacie oper\u00e1cie zo s\u00faboru poved\u00fa k tomu, \u017ee sa vr\u00e1ti nie re\u00e1lne uchov\u00e1van\u00e1 inform\u00e1cia na \u00falo\u017eisku, ale zmenen\u00e9 \u00fadaje. Vyu\u017eitie zranite\u013enosti spo\u010d\u00edva v zmene str\u00e1nkovej cache pre vykonate\u013en\u00fd s\u00fabor s flagom suid root. Napr\u00edklad, pre z\u00edskanie pr\u00e1v root je mo\u017en\u00e9 pre\u010d\u00edta\u0165 vykonate\u013en\u00fd s\u00fabor \/usr\/bin\/su, \u010d\u00edm sa umiestni do str\u00e1nkovej cache, po \u010dom sa dosiahne substit\u00facia vlastn\u00e9ho k\u00f3du do na\u010d\u00edtan\u00e9ho obsahu tohto s\u00faboru v str\u00e1nkovej cache. N\u00e1sledn\u00e9 spustenie utilitky \"su\" povedie k tomu, \u017ee do pam\u00e4te bude na\u010d\u00edtan\u00fd nie p\u00f4vodn\u00fd vykonate\u013en\u00fd s\u00fabor z \u00falo\u017eiska, ale zmenen\u00e1 k\u00f3pia zo str\u00e1nkovej cache. <\/p>\n
Zverejnenie inform\u00e1ci\u00ed o zranite\u013enostiach a koordinovan\u00e9 vydanie aktualiz\u00e1ci\u00ed na odstr\u00e1nenie probl\u00e9mov bolo napl\u00e1novan\u00e9 na 12. m\u00e1ja, ale kv\u00f4li \u00faniku inform\u00e1ci\u00ed museli by\u0165 \u00fadaje o zranite\u013enosti zverejnen\u00e9 pred vydan\u00edm opr\u00e1v. Na konci apr\u00edla boli na verejnom mailing liste netdev zverejnen\u00e9 opravy pre rxrpc, ipsec a xfrm, bez zmienky o tom, \u017ee s\u00favisia s odstr\u00e1nen\u00edm zranite\u013enosti. 5. m\u00e1ja udr\u017eiavate\u013e pod syst\u00e9mu IPsec prijal do git-repozit\u00e1ra netdev zmenu s navrhovanou opravou v module xfrm-esp, ktor\u00e9ho popis do zna\u010dnej miery opakoval popis probl\u00e9mu, ktor\u00fd viedol k zranite\u013enosti Copy Fail v module algif_aead. Jeden z bezpe\u010dnostn\u00fdch v\u00fdskumn\u00edkov sa o t\u00fato opravu zauj\u00edmal, dok\u00e1zal vytvori\u0165 funk\u010dn\u00fd exploit a zverejnil ho, nevediac o tom, \u017ee na zverejnenie inform\u00e1ci\u00ed o probl\u00e9me je do 12. m\u00e1ja uvalen\u00e9 embargo. <\/p>\n