DirtyDecrypt — en ytterligare sårbarhet av klassen Copy Fail, som ger root-rättigheter i Linux

I kärnan av Linux har en sårbarhet identifierats, liknande sårbarheterna Copy Fail, Dirty Frag och Fragnesia, som tillåter en icke-privilegierad användare att få root-rättigheter genom att skriva över data i sidcache. Denna sårbarhet har fått kodnamnet DirtyDecrypt (problemet nämns också under namnet DirtyCBC). En prototyp av ett exploit är tillgänglig.

CVE-ID:et nämns inte i noterna till exploitet, det anges bara att forskarna identifierade problemet den 9 maj och informerade kärnutvecklarna, som svarade att deras upptäckte problem duplicerade en annan rapport om en redan åtgärdad sårbarhet. Eftersom patchen med åtgärden redan har inkluderats i kärnan valde forskarna att publicera sitt utvecklade exploit. Bedömd utifrån beskrivningen i exploitet används sårbarheten CVE-2026-31635, vars fix antogs i kärnan i april och inkluderades i version 7.0.0 och utgåvan 6.18.23 den 18 april. Problemet uppstår från kärna 6.16.

Som med serien av sårbarheter i Dirty Frag, finns den nya sårbarheten i RxRPC-drivrutinen, som implementerar familjen av sockets AF_RXRPC och den namngivna RPC-protokollet som arbetar ovanpå UDP. Problemet orsakas av ett fel i storlekskontrollen av data i funktionen rxgk_verify_response() — istället för kontrollen 'if (auth_len > len)' angavs 'if (auth_len < len)' i koden, vilket ledde till att data med storlek större än den tillåtna skickades till funktionen rxgk_decrypt_skb(). När funktionen rxgk_decrypt_skb() kördes, avkrypterades data genom att direkt införa ändringar i sidcache för att undvika onödig buffring. På grund av den felaktiga storlekskontrollen fanns det en möjlighet att skriva över data i sidcache på den valda förskjutningen.

Utnyttjandet av sårbarheten går ut på att läsa en programfil med suid root-flaggan (för att den ska lagras i sidcache) och ersätta en del av programmets kod i sidcache med kod för att köra /usr/bin/sh. Efterföljande körning av programmet kommer att ladda in en modifierad kopia från sidcache i stället för den ursprungliga körbara filen från lagringsenheten. I exploitet finns möjlighet att använda suid-program som '/usr/bin/su', '/bin/su', '/usr/bin/mount', '/usr/bin/passwd' och '/usr/bin/chsh'.

För att nyttja sårbarheten vid kompilering av kärnan måste alternativet CONFIG_RXGK vara aktiverat, och för automatisk laddning måste kärnmodulen rxrpc.ko vara tillgänglig (i vissa system kompilera den inte). Status för åtgärder mot sårbarheter i distributionerna kan utvärderas på följande sidor: Debian, Ubuntu, SUSE/openSUSE, RHEL, Arch, Fedora. Ett skyddande alternativ kan vara att blockera laddningen av kärnmodulen rxrpc:

sh -c "printf 'install rxrpc /bin/false\n' > /etc/modprobe.d/dirtydecrypt.conf; rmmod rxrpc 2>/dev/null; true"

Dessutom kan det nämnas att en publikationen i mailinglistan för Linux-kärnutvecklare har släppt patchar som helt inaktiverar optimiseringar i crypto API (AF_ALG) som använder direkt adressering av sidan cache vid avkodning med användning av algoritmerna "skcipher" och "aead". Optimeringarna utesluter överflödig buffring av data men skapar risker för allvarliga sårbarheter. Det antas att deras inaktivering endast kommer att leda till en obetydlig prestanda minskning på grund av behovet av ytterligare kopiering av data till en separat buffert. Patcharna har accepterats av den som underhåller crypto API subsystemet och har inkluderats i grenen "cryptodev", där möjligheter för att överföra till framtida versioner av Linux-kärnan utvecklas.

Källa: opennet.ru