“Dirty Frag”: Linux boşlukları kök hakları veriyor

İki hafta içinde “Dirty Frag” ile saldırganların çoğu Linux dağıtımında haklarını genişletebilecekleri üçüncü ayrıcalık yükseltme boşluğu (veya boşluklar kombinasyonu) ortaya çıktı. Görünüşe göre bunlardan bazıları bilgileri çok erken yayınlamış olduğundan, keşifçi Hyunwoo Kim (X-Handle @v4bel), etkilenen Linux dağıtımları için herhangi bir güncelleme veya CVE güvenlik açığı hakkında bir söylenti olmadan, boşlukları şimdi kamuya açıklama zorunluluğu hissetti.

GitHub projesinde “Dirty Frag” güvenlik açığı kombinasyonu hakkında yazdığı şey bu. Orada iki zayıflık zincirini gösteriyor. Kapsamlı ve derinlemesine bir çalışma bunları ayrıntılı olarak tartışmaktadır. Bunlar, “/etc/passwd” veya “/usr/bin/su” gibi kullanıcıların yalnızca okuma erişimine sahip olduğu bellekteki dosyaların sayfa önbelleğini manipüle eden boşluklardır. Sonraki oturum açmalarda Linux, ek haklar ve sonuçta kök erişimi sağlayan RAM'den değiştirilmiş girişleri kullanır. Bu, “Kopyalama Başarısızlığı” adı verilen güvenlik açığını çok anımsatıyor. Kim, bunun aynı zamanda güvenlik açıklarına yönelik araştırmasının da başlangıç ​​noktası olduğunu açıklıyor. Linux dağıtımlarında istismarı önleyebilecek bazı kısıtlamaları aşmak için iki güvenlik açığını da birbirine bağladı. “Dirty Frag”, algif_aead modülü kara listeleri kullanılarak “Kopyalama Başarısızlığı”na karşı korunan sistemlerde hala çalışmaktadır.

Güvenlik açıkları, her ikisinde de sayfa önbelleğine yazma güvenlik açıkları bulunan xfrm-ESP ve RxRPC'yi etkiliyor. Kim, çeşitli dağıtımlardaki güvenlik açıklarını başarıyla test etti ve kök haklarını elde etti: Ubuntu 24.04.4 (Çekirdek 6.17.0-23-jenerik), RHEL 10.1 (Çekirdek 6.12.0-124.49.1.el10_1.x86_64), openSUSE Tumbleweed (Çekirdek 7.0.2-1-varsayılan), CentOS Stream 10 (çekirdek 6.12.0-224.el10.x86_64), AlmaLinux 10 (çekirdek 6.12.0-124.52.3.el10_1.x86_64) ve Fedora 44 (çekirdek 6.19.14-300.fc44.x86_64 ile).

Karşı önlem: Modülleri çıkarın

Kim, dağıtımların güncellenmiş çekirdekleri yayınlamak için henüz zamanı olmadığından, yöneticilerin savunmasız modülleri kaldırarak bunu yapabileceğini yazıyor. Komutu ver

sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

Derinlemesine analizde Kim, sorunu çözecek bir kaynak kodu yaması da öneriyor. İlgili dağıtımdan resmi çekirdek güncellemelerinin beklenmesi tavsiye edilir. ESP bileşeni için bir yama, 7 Mayıs 2026'da yukarı akış netdev ağacına zaten dahil edilmişti; RxRPC için bir yukarı akış yaması hala beklemede.

Bu, son iki hafta içinde hakların yükseltilmesinde bildirilen üçüncü dikkate değer boşluktur. Yaklaşık iki hafta önce, Telekom güvenlik ekibi tarafından keşfedilen ve çeşitli Linux dağıtımlarında kök hakları sağlayan “Pack2TheRoot” güvenlik açığı (CVE-2026-41651) öğrenildi. Geçen haftanın sonunda, artık ortalıkta bile suiistimal edilen “Kopyalama Hatası” güvenlik açığı eklendi. Bunun Linux'a özgü bir sorun olduğunu düşünüyorsanız, hiç de değil. “RedSun” sıfır gün güvenlik açığı üç hafta boyunca Windows'ta açık kaldı ve Microsoft buna karşı bir yama yayınlamak için herhangi bir adım atmadı. Bu güvenlik açıkları – “RedSun”, “UnDefend” ve “BlueHammer” dahil olmak üzere toplamda üç tane var – aynı zamanda hakların genişletilmesine de izin veriyor ve halihazırda kötü aktörler tarafından kötüye kullanılıyor.

(Bilmiyorum)