Működő rootjogosultság-szerző kód előzte meg egy Linux-hiba javítását
Több Linux-disztribúción is rendszergazdai jogosultságot szerzett a TuxCare egy nyilvánosan elérhető támadókóddal. Az érintett kernelhiba a kód közzétételekor még CVE-azonosítót sem kapott, és a javítását sem olvasztották be a fő fejlesztési ágba. A Sysdig elemzésének megjelenésekor éles támadásokról nem érkezett jelentés.
Csak olvasható fájlok memóriabeli tartalmát is módosíthatja
A ZDI-CAN-33367 jelű sérülékenység a Linux kernel hálózati alrendszerében található. Egy alacsony jogosultságú helyi felhasználó olyan fájlok memóriabeli tartalmát is megváltoztathatja vele, amelyekhez csak olvasási hozzáférése van. A hiba olyan kódútvonalon maradt meg, amelyet a korábbi Dirty Frag sérülékenységek javítása nem fedett le.
A Trend Micro Zero Day Initiative (ZDI) ezt és öt másik bejelentést október 20-án és 21-én küldte el a karbantartóknak és nyilvános levelezőlistáknak. A Sysdig Threat Research Team október 24-i elemzése szerint több érintett problémához akkor még egyetlen kiadott kernelben sem volt javítás.
Ezeken a disztribúciókon sikerült rootjogot szerezni
A Sysdig beszámolója szerint a TuxCare az alábbi rendszereken reprodukálta a rendszergazdai jogosultságú parancsértelmező elérését a nyilvános bizonyítókóddal:
| Disztribúció | A sikeres próbában szereplő verziók |
|---|---|
| AlmaLinux | 8-tól 10-ig |
| CloudLinux | 9 és 10 |
| Debian | 12 és 13 |
| Ubuntu | 24.04 és 26.04 |
Az AlmaLinux esetében október 23-ig már tesztelés alatt álltak javított kernelek, de az éles kiadásban még nem voltak elérhetők. Ez az akkori állapot: a beszámoló nem ad minden felsorolt rendszerhez naprakész javítási listát.
A legmagasabb pontszámú hibák a ksmbd komponenst érintik
A ZDI-CAN-33774 és a ZDI-CAN-33549 egyaránt 9,0-s CVSS-értékelést kapott. Ez a mutató a műszaki súlyosságot jelzi, nem azt, hogy történnek-e támadások. Mindkettő a kernel SMB-kiszolgálóját, a ksmbd komponenst érinti.
Az első távolról, hitelesítés előtt lehetővé teheti a kernelmemória kiszivárgását és a rendszer összeomlasztását. A második kihasználásához SMB Direct, RDMA-interfész és írható megosztás szükséges. A Sysdig ezért azt javasolja, hogy a védekezés sorrendjét a ténylegesen használt összetevők határozzák meg, ne önmagukban a pontértékek.
A VMware grafikus illesztőprogramjában is maradt javítatlan hiba
A ZDI-CAN-34068 a kernel VMware grafikus illesztőprogramjában tesz lehetővé helyi jogosultságnövelést, és 8,8-as értékelést kapott. A Sysdig elemzésekor nem volt hozzá javítás, és csak a bejelentés címe volt nyilvános.
A további két ügy a ZDI-CAN-34076, az NVMe-célkomponens információszivárgása, illetve a ZDI-CAN-32005, a ConnMan hálózatkezelő felhasználói térben jelentkező veremtúlcsordulása. VMware-vendégrendszereknél a Sysdig a vmwgfx javításának követését javasolja.
A nyilvános kód korlátozására javasolt lépés még nem ellenőrzött
A Sysdig szerint a nem privilegizált felhasználói névterek korlátozása várhatóan blokkolja a ZDI-CAN-33367 nyilvános bizonyítókódját. Ezt azonban a TuxCare még nem igazolta. A javaslatnak működési következménye is lehet: a rootjog nélkül futó konténerek ezekre a névterekre támaszkodnak.
A szükségtelen ksmbd modul eltávolítását a futó kernelből szintén ajánlják. Ahol a szolgáltatásnak maradnia kell, ott a Sysdig a 445-ös port elérésének megbízható hálózatokra korlátozását javasolja.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum