Sårbarheter i PAM och libblockdev som möjliggör root-åtkomst i systemet

Företaget Qualys har upptäckt en sårbarhet (CVE-2025-6019) i biblioteket libblockdev, som möjliggör att genom manipulation av bakgrundsprocessen udisks få root-rättigheter i systemet. En prototyp av exploiten har demonstrerats i Ubuntu, Debian, Fedora och openSUSE Leap 15.

Processen udisks används i stort sett i alla Linux-distributioner och tillhandahåller ett D-Bus-gränssnitt för att utföra operationer med lagringsenheter, såsom montering och formatering. För att utföra åtgärder med lagringsenheter anropar udisks funktioner från biblioteket libblockdev. Åtkomsten till udisks är som standard endast öppen för användare som arbetar i kontexten 'allow_active', det vill säga har fysisk åtkomst till datorn och är anslutna via lokal konsol eller har startat en grafisk session. Användare som ansluter på distans, exempelvis via ssh, faller inte inom denna kontext och kan inte direkt utnyttja sårbarheten.

För att kringgå detta begränsning kan en trick användas, vilket möjliggör att höja autentiseringnivån till 'allow_active' genom manipulation av startandet av användartjänsten med systemctl, vilken polkitd kommer att tolka som ett tecken på en lokal session. Kärnan i metoden är att polkitd bestämmer om det finns fysisk åtkomst och tilldelar 'allow_active'-nivån baserat på indirekta tecken som kan påverkas. Begränsningarna med metoden är att för att lura polkitd krävs det att en lokal användarsession med fysisk åtkomst redan är aktiv i systemet.

En andra metod för att få 'allow_active'-rättigheter är att utnyttja sårbarheten (CVE-2025-6018) i PAM (Pluggable Authentication Modules), som forskare från Qualys upptäckte under analysen av sårbarheten i libblockdev. Sårbarheten tillåter vilken användare som helst, inklusive de som ansluter via SSH, att utföra operationer i kontexten 'allow_active'. Problemet är specifikt för PAM-inställningarna i openSUSE Leap 15 och SUSE Linux Enterprise 15, och uppträder endast i dessa distributioner.

I modulen pam_env i openSUSE och SUSE är läsning av filen ~/.pam_environment som standard aktiverad. Genom denna fil kan användaren ställa in miljövariablerna XDG_SEAT=seat0 och XDG_VTNR=1, vilka vid vidare bearbetning kommer att tolkas som tecken på fysisk närvaro av användaren, även om inloggningen faktiskt har gjorts via SSH. Modulen pam_env anropas även vid SSH-anslutning i Debian 12 och Ubuntu 24.04 (i Debian 13 och Ubuntu 24.10+ är den avstängd), men ställning av miljövariabler i dessa distributioner kan inte användas för att höja åtkomstnivån till "allow_active", eftersom pam_env anropas vid det slutliga steget efter att modulen pam_systemd har laddats och de angivna miljövariablerna kan inte påverka sessionens parametrar.

När det gäller sårbarheten i libblockdev kan en angripare montera en bild av ett godtyckligt filsystem i loop-läge genom att placera en körbar fil med SUID-rootflagga eller en speciell enhet (/dev/mem) för låg nivå åtkomst till diskar eller minne i denna bild. För att blockera sådana attacker monteras filsystembilder av systemet med flaggorna nosuid och nodev, men sårbarheten i libblockdev möjliggör att montera en bild utan flaggorna nosuid och nodev. Sårbarhetens kärna är att udisks tillåter en användare med "allow_active"-åtkomstnivå att ändra storlek på sina filsystem och libblockdev temporärt monterar filsystemet utan att ställa in flaggorna nosuid och nodev under denna operation.

På så sätt reduceras attacken till att skapa en loop-enhet baserad på en bild av filsystemet XFS, där en suid root-fil placeras, initiera operationen för att ändra storlek på loop-enheten och övervaka ögonblicket för dess montering i katalogen /tmp/blockdev*: victim> killall -KILL gvfs-udisks2-volume-monitor victim> udisksctl loop-setup —file ./xfs.image —no-user-interaction Mapped file ./xfs.image as /dev/loop0. victim> while true; do /tmp/blockdev*/bash -c ‘sleep 10; ls -l /tmp/blockdev*/bash’ && break; done 2>/dev/null & victim> gdbus call —system —dest org.freedesktop.UDisks2 —object-path /org/freedesktop/UDisks2/block_devices/loop0 —method org.freedesktop.UDisks2.Filesystem.Resize 0 ‘{}’ Error: GDBus.Error:org.freedesktop.UDisks2.Error.Failed: Error resizing filesystem on /dev/loop0: Failed to unmount ‘/dev/loop0’ after resizing it: target is busy -r-sr-xr-x. 1 root root 1406608 Jun 18 09:42 /tmp/blockdev.RSM429/bash victim> /tmp/blockdev*/bash -p victim# id uid=65534(nobody) gid=65534(nobody) euid=0(root) groups=65534(nobody)

Sårbarheten i libblockdev har hittills åtgärdats endast som patchar. För att kontrollera statusen för den nya versionen av paketet eller beredningen av en lösning i distributionerna kan du besöka följande sidor (om sidan är otillgänglig, betyder det att distributionens utvecklare ännu inte har påbörjat granskning av problemet): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo och Arch (1, 2). Som en workaround för att blockera sårbarheten kan du ändra åtkomsträttningen till operationen "org.freedesktop.udisks2.modify-device" i polkit genom att ändra värdet för parametern "allow_active" i filen /usr/share/polkit-1/actions/org.freedesktop.UDisks2.policy från "yes" till "auth_admin".

Det är också värt att notera den sårbarhet (CVE-2025-6020) i paketet linux-pam som avslöjades för några timmar sedan, vilket gör det möjligt för en lokal användare att få root-rättigheter. Modulen pam_namespace kontrollerade inte korrekt filvägar som styrs av användaren, vilket gjorde det möjligt att genom manipulation av symboliska länkar och uppnåelse av ett tävlingsförhållande få privilegierade filer i systemet att skrivas över. Sårbarheten har åtgärdats i utgåvan av linux-pam 1.7.1. För att kontrollera statusen för den nya versionen av paketet eller beredningen av en lösning i distributionerna kan du besöka följande sidor: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo och Arch (1, 2).

Källa: opennet.ru