Egy security kutató nyilvánosságra hozta négy Linux kernel sebezhetőség működő exploit kódját. Mindegyik lehetővé teszi, hogy egy helyi felhasználó root jogot, vagyis a gép feletti legmagasabb szintű hozzáférést szerezzen.

A kernel karbantartói az elmúlt hetekben mind a négy hibát kijavították, így a naprakész kernel-t futtató rendszerek már nem érintettek. Az exploit kód azonban mostantól bárki számára elérhető, ezért minden olyan gépet frissíteni kell, amelyen még régebbi kernel fut.

A sebezhetőségek neve: DirtyAH6, TUNderflow, PPPoEject és DiagSpill. A hibákat Asim Manizada kutató találta, és július közepén jelentette a Linux kernel security csapatának.

Szeptember 18-án tette közzé a technikai összefoglalót a működő exploitokkal együtt, miután egyeztetett a Linux disztribúciókkal, hogy előbb megjelenhessenek a javítások.

Eddig nincs hír arról, hogy a négy hibát valós támadásokban használnák. Az exploitok Manizada saját kódjai, konkrét kernel buildekre hangolta őket, és a gép összeomlását is okozhatják, ezért elszigetelt tesztrendszerekre szánja őket.

Ennek ellenére a nyilvános exploit kód növeli a kockázatot a megosztott rendszereken. A helyi jogosultságkiterjesztés főleg ott számít, ahol a támadónak már van valamilyen hozzáférése – például egy kevés joggal rendelkező fiók egy többfelhasználós szerveren –, és teljes irányítást akar szerezni.

Mi érintett?

A négy hiba közül háromhoz egy átlagos felhasználó csak akkor fér hozzá, ha az unprivileged user namespace-ek engedélyezve vannak. A user namespace egy Linux funkció, amely lehetővé teszi, hogy egy normál felhasználó rootként működjön egy saját, elszigetelt környezetben. Sok disztribúcióban ez alapértelmezett, így szerezheti meg a támadó azokat a hálózati jogosultságokat, amelyekre az exploitoknak szükségük van.

A negyedik hiba, a DiagSpill kivétel. Nem igényel user namespace-t vagy különleges jogosultságot, elég, ha a rendszeren elérhető az SCTP hálózati modul.

Csak összeomlás, és csak akkor, ha nem alapértelmezett SCTP opciókat bekapcsoltak

Manizada azt is kimutatta, hogy a DirtyAH6 és a DiagSpill hálózaton keresztül is kiváltható, de csak szűk körülmények között, és főleg a rendszer összeomlasztására alkalmasak.

A DirtyAH6 össze tud omlasztani egy olyan hostot, amely IPv6 routerként vagy átjáróként működik, és IPsec Authentication Header-t ad hozzá transport módban. A DiagSpill csak akkor tud összeomlást okozni, ha bizonyos SCTP opciókat bekapcsoltak, amelyek alapból ki vannak kapcsolva.

Manizada a saját laborjában, távolról is el tudta érni a root jogot a DirtyAH6-tal, de csak úgy, hogy előtte célzottan „alakította” a célrendszer memóriáját. Szerinte ezt pusztán távolról megtenni „rendkívül nehéznek tűnik”, bár nem zárta ki teljesen a lehetőségét. A DiagSpill esetében viszont úgy látja, hogy még tökéletes memóriaformálás mellett sincs reális út a távoli root jog megszerzéséhez.

Azt is megjegyezte, hogy elméletben konténerből való kitörésre is használhatók ezek a hibák, de ilyen exploitot nem készített.

Mit tegyünk

Frissíts egy olyan kernel-re, amely tartalmazza mind a négy javítást. Az első stabil kernel kiadások, amelyekben a teljes csomag benne van:

• 5.10.270
• 5.15.221
• 6.1.188
• 6.6.157
• 6.12.109
• 6.18.50
• 7.2.4

Ezek a fő Linux kernel projekt verziószámai. A legtöbb rendszeren inkább valamelyik disztribúció kernel-jét használják, például Debian, Ubuntu, Red Hat vagy SUSE, amelyek saját verziószámozást követnek, és a javításokat a saját ütemezésük szerint veszik át. Nézd meg a disztribúciód security közleményét, hogy biztosan olyan frissítést telepíts, amely mind a négy javítást tartalmazza, ne csak a fenti verziószámokhoz igazodj.

Ha azonnal nem tudsz javítócsomagot telepíteni, két lépéssel csökkentheted a kockázatot:

• Kapcsold ki az unprivileged user namespace-eket. Ezzel lezárod a sima felhasználók számára a DirtyAH6, a TUNderflow és a PPPoEject kihasználásának útját. A DiagSpillt ez nem állítja meg, és nem véd azoktól a konténerektől vagy folyamatoktól sem, amelyeknek már van network-admin jogosultságuk.
• Kapcsold ki az érintett funkciókat, ha nincs rájuk szükséged: AH6, TUN/TAP, PPPoE és SCTP.

Manizada szerint érdemesebb javítócsomagot telepíteni, mint funkciókat letiltani, mert előfordulhatnak más, még ismeretlen útvonalak is ugyanazokhoz a hibákhoz.

Hogyan működnek a hibák

Mind a négy hiba memória-biztonsági sebezhetőség a kernel hálózati kódjának különböző részeiben. Mindegyik lehetővé teszi a támadónak, hogy módosítsa a kernel memóriáját, amit Manizada root shell megszerzésére használt. A mögöttes programozási hibák régiek, 10 és 21 év közötti időszakból származnak.

• A DirtyAH6 az IPv6 Authentication Header-t kezelő IPsec kódban található. A kód megbízott egy routing-header mezőben anélkül, hogy ellenőrizte volna az ott megadott értéket a tényleges címek számához képest, így egy gondosan felépített csomag egy belső mutatót messze a megengedett tartományon kívülre mozgatott, és a buffer határán túl írt.
• A TUNderflow a TUN és TAP virtuális hálózati eszközökben van. Egyetlen értéket egyszerre használtak tartalékként és méretként, és amikor az Open vSwitch-en keresztül túl nagy értéket adtak át, a méretszámítás túlcsordult, így a csomag adatai a saját bufferükön kívülre kerültek.
• A PPPoEject a PPP over Ethernet kódban található. A kód megtartott egy mutatót egy hálózati bufferre, miközben meghívott egy eszközfüggő rutint, amely felszabadíthatta és áthelyezhette ezt a buffert. A későbbi írások így már felszabadított memóriát használtak, ez az úgynevezett use-after-free hiba.
• A DiagSpill az SCTP jelentési kódjában található. Az egyik számláló, amely a kapcsolatvégpontokat követi, csak 16 bites, ezért a 65 536. végpontnál visszaugrott nullára. A jelentési kód így nem foglalt helyet, mégis megpróbálta kimásolni a teljes listát, és nagyjából 8 MiB adatot írt a buffer vége után.

MI által segített hibavadászat

Manizada elmondta, hogy a négy hibát egy MI-vel támogatott folyamattal találta, amely feltérképezi, hogyan kezeli a kernel a memóriát, és elemzi annak elrendezését. A kernel DirtyAH6-hoz kiadott javítása ezt meg is örökíti: a commit tartalmaz egy „Assisted-by” sort, amely az ő egyedi MI-eszközét említi.

Ez a legújabb darab a Linux kernel jogosultságkiterjesztési hibák 2026-ig tartó sorozatában, amelyek közül többet is nagy nyelvi modellek segítségével találtak. Manizada júliusban hozott nyilvánosságra egy hasonló Open vSwitch hibát, az OVSwrap-ot.

Az új exploitok egyike egy technikát is újrahasznosít a Dirty Frag-ből, egy másik Linux kernel root sebezhetőségből, amelyet májusban egy másik kutató publikált. Manizada az elemzésében azt írta, ez a csomag jó eséllyel lezárja MI-vel támogatott hibavadászatának nyilvános szakaszát.