В четвъртък американската агенция за киберсигурност CISA предупреди организациите, че заплахите активно използват неотдавнашна уязвимост в ядрото на Linux.

Проследявана като CVE-2024-1086, грешката е описана като проблем с използването след освобождаване в компонента „netfilter: nf_tables“. Използването ѝ позволява на локален нападател да повиши привилегиите си.

Дефектът засяга версии на Linux ядрото между 5.14 и 6.6, като основният проблем може да засегне всички итерации на ядрото, започвайки от версия 3.15.

Кръпките бяха публикувани през февруари 2024 г., като беше потвърдено, че са засегнати AlmaLinux, Debian, Gentoo, Red Hat, SUSE и Ubuntu. Възможно е и други дистрибуции на Linux да са уязвими.

В края на март Notselwyn, ловецът на грешки, който откри CVE-2024-1086, публикува код за проверка на концепцията (PoC), като твърди, че успеваемостта е 99,4% и предупреждава, че уязвимостта е тривиална за използване.

Грешката, обяснява изследователят в техническо описание, е двойно свободен бъг, чиито корени са в недостатъчната обработка на входните данни в netfilter, когато са разрешени nf_tables и пространства от имена на непривилегировани потребители.

„Експлойтът е само за данни и извършва атака за огледално отразяване на ядрото (KSMA) от потребителската област с новата техника Dirty Pagedirectory (объркване на таблици със страници), при която може да свърже всеки физически адрес (и неговите разрешения) с адреси на виртуалната памет, като извършва само четене/записване на адреси от потребителската област“, отбелязва Notselwyn. Dirty Pagedirectory е разновидност на Dirty Pagetable.

Успешното експлоатиране на уязвимостта води до срив или до произволно изпълнение на код в ядрото, а изследователят обяснява как грешката може да бъде насочена към пускане на универсален root shell.

В четвъртък, два месеца след като експлойтът беше оповестен публично, CISA добави CVE-2024-1086 към своя каталог на известните експлоатирани уязвимости (Known Exploited Vulnerabilities – KEV), като предупреди, че  заплахите се насочват към нея в дивата природа.

Агенцията не споменава, че недостатъкът се използва при атаки с цел получаване на откуп. Изглежда, че няма налична информация за атаките, включващи CVE-2024-1086.

Съгласно Обвързваща оперативна директива (BOD) 22-01 федералните агенции трябва да приложат наличните пачове или смекчаващи мерки до 20 юни.

„Въпреки че BOD 22-01 се отнася само за агенциите FCEB, CISA настоятелно призовава всички организации да намалят излагането си на кибератаки, като дадат приоритет на навременното отстраняване“, отбелязва Агенцията за киберсигурност.