I Linux-k\u00e4rnan har tv\u00e5 s\u00e5rbarheter uppt\u00e4ckts som p\u00e5 ett s\u00e4tt liknar den s\u00e5rbarhet som f\u00f6r n\u00e5gra dagar sedan avsl\u00f6jades, kallad Copy Fail, men som visar sig i andra delsystem \u2014 xfrm-ESP och RxRPC. S\u00e5rbarheterna har kodnamnet Dirty Frag (det finns ocks\u00e5 omn\u00e4mnande av Copy Fail 2). S\u00e5rbarheterna m\u00f6jligg\u00f6r f\u00f6r en icke-privilegierad anv\u00e4ndare att f\u00e5 root-r\u00e4ttigheter genom att skriva \u00f6ver processdata i sidcacheminnet. Det finns ett utnyttjande som fungerar i alla aktuella Linux-distributioner. Informationen om s\u00e5rbarheten har l\u00e4mnats ut innan korrigeringarna publicerades, men det finns en workaround f\u00f6r att blockera problemet. <\/p>\n
Dirty Frag omfattar tv\u00e5 olika s\u00e5rbarheter: den f\u00f6rsta i xfrm-ESP-modulen, som anv\u00e4nds f\u00f6r att p\u00e5skynda kryptografiska operationer i IPsec med ESP-protokollet (Encapsulating Security Payload), och den andra i RxRPC-drivrutinen, som implementerar socketfamiljen AF_RXRPC och det namngivna RPC-protokollet som fungerar \u00f6ver UDP. Var och en av s\u00e5rbarheterna i sig g\u00f6r det m\u00f6jligt att f\u00e5 root-r\u00e4ttigheter. S\u00e5rbarheten i xfrm-ESP har funnits i Linux-k\u00e4rnan sedan januari 2017, medan s\u00e5rbarheten i RxRPC har funnits sedan juni 2023. B\u00e5da problemen orsakas av optimeringar som till\u00e5ter direkt skrivning till sidcacheminnet. <\/p>\n
F\u00f6r att exploatera s\u00e5rbarheten i xfrm-ESP m\u00e5ste anv\u00e4ndaren ha r\u00e4tt att skapa namnrymder, medan f\u00f6r att utnyttja s\u00e5rbarheten i RxRPC m\u00e5ste modulen rxrpc.ko kunna laddas. Till exempel \u00e4r det i Ubuntu f\u00f6rbjudet f\u00f6r en icke-privilegerad anv\u00e4ndare att skapa namnrymder enligt AppArmor-reglerna, men modulen rxrpc.ko laddas som standard. Vissa distributioner saknar modulen rxrpc.ko, men blockerar inte skapandet av namnrymder. Forskaren som identifierade problemet har tagit fram en kombinerad exploit som kan attackera systemet via b\u00e5da s\u00e5rbarheterna, vilket m\u00f6jligg\u00f6r exploatering av problemet i alla stora distributioner. Exploitens funktion har bekr\u00e4ftats i Ubuntu 24.04.4 med k\u00e4rna 6.17.0-23, RHEL 10.1 med k\u00e4rna 6.12.0-124.49.1, openSUSE Tumbleweed med k\u00e4rna 7.0.2-1, CentOS Stream 10 med k\u00e4rna 6.12.0-224, AlmaLinux 10 med k\u00e4rna 6.12.0-124.52.3 och Fedora 44 med k\u00e4rna 6.19.14-300. <\/p>\n
Liksom i fallet med s\u00e5rbarheten Copy Fail, orsakades problemen i xfrm-ESP och RxRPC av att avkryptering av data utf\u00f6rdes p\u00e5 plats med hj\u00e4lp av funktionen splice(), som \u00f6verf\u00f6r data mellan filbeskrivare och r\u00f6rledningar (pipe) utan att kopiera, genom att skicka referenser till element i sidcache. Offset f\u00f6r skrivoperationen ber\u00e4knades utan l\u00e4mpliga kontroller som tar h\u00e4nsyn till anv\u00e4ndningen av direktreferenser till element i sidcache, vilket m\u00f6jliggjorde att genom att skicka speciellt utformade f\u00f6rfr\u00e5gningar skriva \u00f6ver 4 byte p\u00e5 det valda offsetet och \u00e4ndra inneh\u00e5llet i vilken fil som helst i sidcache. <\/p>\n
Alla l\u00e4soperationer fr\u00e5n filer returnerar f\u00f6rst inneh\u00e5llet fr\u00e5n sidcacheminnet. Om data i sidcacheminnet \u00e4ndras kommer l\u00e4soperationer fr\u00e5n filer att returnera icke verkligt lagrad information, utan manipulerade data. Utnyttjandet av s\u00e5rbarheten g\u00e5r ut p\u00e5 att f\u00f6r\u00e4ndra sidcacheminnet f\u00f6r en exekverbar fil med suid root-flaggan. Till exempel, f\u00f6r att f\u00e5 root-r\u00e4ttigheter kan man l\u00e4sa den exekverbara filen \/usr\/bin\/su f\u00f6r att placera den i sidcacheminnet, varefter man kan f\u00e5 sin egen kod att ers\u00e4tta inneh\u00e5llet i denna fil som laddas i sidcacheminnet. Den efterf\u00f6ljande k\u00f6rningen av verktyget \"su\" kommer att leda till att den modifierade kopian fr\u00e5n sidcacheminnet laddas i minnet ist\u00e4llet f\u00f6r den ursprungliga exekverbara filen fr\u00e5n lagringen. <\/p>\n
Information om s\u00e5rbarheter och koordinerad release av uppdateringar f\u00f6r att \u00e5tg\u00e4rda problemen var planerad till den 12 maj, men p\u00e5 grund av en informationsl\u00e4cka var man tvungen att offentligg\u00f6ra informationen om s\u00e5rbarheten innan korrigeringarna publicerades. I slutet av april publicerades patchar f\u00f6r rxrpc, ipsec och xfrm p\u00e5 den offentliga mailinglistan netdev, utan att n\u00e4mna att de var relaterade till \u00e5tg\u00e4rdandet av s\u00e5rbarheten. Den 5 maj accepterade underh\u00e5llaren f\u00f6r IPsec-subsystemet en \u00e4ndring med den f\u00f6reslagna korrigeringen i modulen xfrm-esp i git-repositoriet netdev, d\u00e4r beskrivningen i h\u00f6g grad var en upprepning av beskrivningen av problemet som ledde till s\u00e5rbarheten Copy Fail i modulen algif_aead. En av s\u00e4kerhetsforskare blev intresserad av detta fix, lyckades skapa en fungerande exploit och publicerade den, utan att veta att det fanns en embargo mot att avsl\u00f6ja informationen om problemet f\u00f6re den 12 maj. <\/p>\n