En sårbarhet i Linux-pidfd-subsystemet, som tillåter att läsa filer som är otillgängliga för användaren

I kärnan av Linux har en femte kritisk sårbarhet upptäckts under de senaste två veckorna (1, 2, 3), vilket gör det möjligt för användare att höja sina privilegier i systemet. Två fungerande exploater har publicerats: sshkeysign_pwn gör det möjligt för en användare utan privilegier att läsa innehållet i privata värd SSH-nycklar /etc/ssh/ssh_host_*_key, medan chage_pwn — läser innehållet i filen /etc/shadow med hashvärden för användarnas lösenord.

Information om sårbarheten var inte planerad för offentliggörande, men en av säkerhetsforskare lyckades baserat på det föreslagna patchen för kärnan identifiera kärnan i sårbarheten, vilket möjliggör läsning av filer som endast är tillgängliga för root-användaren, exempelvis /etc/shadow. Ändringen som lades till kärnan justerade logiken för användningen av funktionen get_dumpable() i ptrace vid bestämning av åtkomstnivå i funktionen ptrace_may_access().

Sårbarheten uppstår direkt på grund av ett tävlingsförhållande, vilket leder till möjligheten för obehörig åtkomst till filbeskrivaren pidfd efter att ha gjort en begäran om en fil från en suid-rootprocess. Vid tidpunkten mellan öppningen av filen och nedsläppning av privilegierna i suid-programmet (till exempel via funktionen setreuid), uppstår en situation där applikationen som startade suid-rootprogrammet, via pidfd-beskrivaren kan komma åt den öppna filen i suid-programmet, även om filens åtkomsträttigheter inte tillåter det.

Fönstret för exploatering uppstår därför att funktionen '__ptrace_may_access()' hoppar över kontrollen av möjligheten att komma åt en fil, om fältet task->mm sätts till NULL efter att ha utfört exit_mm(), men före anropet till exit_files(). I detta ögonblick tror systemanropet pidfd_getfd att identifieraren för användaren (uid) för den anropande processen motsvarar identifieraren som har behörighet att komma åt filen. Det är anmärkningsvärt att problemet tidigare uppmärksammades redan 2020, men förblev olöst.

I exploateringen som får innehållet i /etc/shadow, består attacken av cyklisk körning via fork+execl av applikationen /usr/bin/chage med suid root-flagg, vilket läser innehållet i /etc/shadow. Efter att processen har klonats utförs systemanropet pidfd_open och en cyklisk genomgång av tillgängliga pidfd-beskrivare görs genom systemanropet pidfd_getfd och deras kontroll genom /proc/self/fd. I exploateringen sshkeysign_pwn utförs liknande manipulationer med suid root-programmet ssh-keysign.

CVE-identifier för problemen har ännu inte tilldelats, kärn- och paketuppdateringar i distributionerna har inte publicerats. I de kärnorna som släpptes för några timmar sedan, 7.0.7, 6.18.30 och 6.12.88, har sårbarheten inte åtgärdats. Vid tidpunkten för nyhetsförfattandet kan endast patchen användas. Möjliga tillvägagångssätt för att blockera sårbarheten diskuteras, såsom att ställa in sysctl kernel.yama.ptrace_scope=3 eller att ta bort suid root-flaggan från körbara filer i systemet (åtminstone från verktygen ssh-keysign och chage som används i exploits).

Tillägg: Sårbarheten har tilldelats CVE-2026-46333. Uppdateringar av Linux-kärnor 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 och 5.10.256 har skapats för att åtgärda sårbarheten. Status för åtgärdande av sårbarheter i distributionerna kan utvärderas på följande sidor: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Källa: opennet.ru