Opnieuw Linux staat voor een nieuwe uitdaging met de opkomst van "Dirty Frag".een aantal kwetsbaarheden ook bekend als Kopieerfout 2. Deze reeks ernstige kwetsbaarheden, formeel geïdentificeerd onder de registernummers CVE-2026-43284 en CVE-2026-43500, stelt een lokale gebruiker zonder beheerdersrechten in staat om volledige beheerdersrechten te verkrijgen door rechtstreeks gegevens in de paginacache van het besturingssysteem te overschrijven.
Er wordt gezegd dat De dreiging blijkt buitengewoon veelzijdig en gevaarlijk te zijn.omdat een onderzoeker erin geslaagd is een werkende exploit te ontwikkelenin staat om vrijwel alle huidige distributies te compromitterenwaardoor systeembeheerders gedwongen werden onmiddellijk actie te ondernemen naar aanleiding van een probleem dat eerder dan verwacht aan het licht kwam als gevolg van een onbedoeld informatielek.
Dirty Frag is geen op zichzelf staande bug, maar eerder Het omvat twee afzonderlijke kwetsbaarheden die zich in onafhankelijke subsystemen bevinden. van de Linux-kernel:
- De xfrm-ESP-module: verantwoordelijk voor het versnellen van IPsec-versleutelingsbewerkingen met behulp van het Encapsulated Security Payload-protocol.
- De RxRPC-controller: verantwoordelijk voor het beheren van remote procedure calls via UDP-verbindingen.
Hoewel ze in verschillende gebieden actief zijn en in verschillende jaren zijn geïntroduceerd, Beide kwetsbaarheden hebben dezelfde aanvalsvector als uitgangspunt. Dit komt door gebrekkige optimalisaties in het geheugenbeheer. Afhankelijk van de beveiligingsconfiguratie en de modules die in elke distributie zijn geladen, Een aanvaller kan een van beide mogelijkheden benutten om zijn bevoegdheden te vergroten en de controle over te nemen. absolute waarde van de betreffende server.
Foutieve optimalisaties en geheugenmanipulatie
De interne mechanismen van deze kwetsbaarheden Het vertoont een opvallende gelijkenis met de recente structurele mislukking KopieerfoutHet kernprobleem ontstaat tijdens het decoderen van de gegevens in dezelfde geheugenruimte, ook wel "in-place" bewerkingen genoemd, door gebruik te maken van een specifieke bestandsoverdrachtfunctie.
Door gegevens tussen descriptors en pipelines te verplaatsen zonder ze fysiek te kopiëren om resources te besparen, geeft het systeem directe verwijzingen door naar items die in de paginacache zijn opgeslagen. De cruciale fout Dit komt door de schrijfverschuivingen. Tijdens dit proces werden berekeningen gemaakt. zonder de vereiste veiligheidscontroles uit te voeren Dit type directe verwijzing maakt het mogelijk dat een zorgvuldig opgestelde kwaadwillige aanvraag precies vier bytes in de cache van elk bestand dat in het systeem wordt geladen, kan overschrijven.
Het gevaar Het zit hem in de manier waarop moderne besturingssystemen de efficiëntie van het lezen van bestanden beheren.Omdat elke leesaanvraag eerst informatie uit de RAM-paginacache ophaalt om de prestaties te versnellen, Een verandering in deze vluchtige ruimte zorgt ervoor dat de kernel valse gegevens levert in plaats van de werkelijke inhoud. veilig opgeslagen op de harde schijf.
De exploitmethode maakt gebruik van deze architectuur om de gecachede versie van een cruciaal uitvoerbaar bestand met supergebruikersrechten te wijzigen, waardoor kwaadaardige code rechtstreeks in het geheugen wordt geïnjecteerd. Wanneer deze gecompromitteerde tool wordt uitgevoerd, verwerkt het systeem de geïnjecteerde code met absolute rechten, waardoor direct root-toegang wordt verkregen zonder het oorspronkelijke fysieke bestand te wijzigen.
Misbruik en uitlekken van de beveiligingspatch
Om deze aanval succesvol uit te voeren, Een kwaadwillende actor moet bepaalde beveiligingsmaatregelen omzeilen, afhankelijk van de doelmodule.De kwetsbaarheid die aanwezig is in het subsysteem xfrm-ESP vereist dat de gebruiker machtigingen heeft om naamruimten te creëren.Dit is een actie die robuuste distributies zoals Ubuntu standaard blokkeren met behulp van strikte AppArmor-regels. Om deze beveiliging te omzeilen, hebben onderzoekers echter een gecombineerde exploit ontwikkeld die ook de RxRPC-module aanvalt, die doorgaans standaard op een groot aantal systemen is geladen. Dankzij deze veelzijdigheid konden ze de effectiviteit van de escalatieaanval bevestigen op de nieuwste stabiele versies van Linux-distributies.
Het beheer van deze crisis liep een ernstige operationele tegenslag op toen de Essentiële technische details zijn vóór de geplande releasedatum uitgelekt.Eind april, Er werden diverse correctiepatches naar openbare mailinglijsten verzonden. Netwerkontwikkeling zonder waarschuwing over de directe relatie met een kritieke kwetsbaarheid voor privilege-escalatie.
Un Een onafhankelijke beveiligingsonderzoeker analyseerde deze veranderingen. in de repository, Hij herkende de gelijkenis met de oorspronkelijke Copy Fail-kwetsbaarheid en slaagde erin een werkende exploit te ontwikkelen en te publiceren.Hij was zich er totaal niet van bewust dat er een geheimhoudingsverbod gold. Gelukkig... Correctieve kernelversies worden al op grote schaal verspreid. Om beide tekortkomingen aan te pakken, en voor systemen die de definitieve updates nog niet kunnen toepassen, wordt ten zeerste aanbevolen om het handmatig laden van de esp4-, esp6- en rxrpc-modules te blokkeren als noodmaatregel.
Als u hier meer over wilt weten, kunt u tot slot de volgende informatie raadplegen: details in de volgende link.