Lỗi use-after-free trong SysV semaphore của OpenBSD cho phép leo thang đặc quyền lên root

Tệp sys/kern/sysv_sem.c trong OpenBSD đến và bao gồm 7.9 có lỗi use-after-free cho phép leo thang đặc quyền cục bộ lên root. Đây là lỗi use-after-free khi chuyển ngữ cảnh sau tsleep trong sys_semget().

• OpenBSD: bản ghi CNA xác định OpenBSD từ phiên bản 0 đến và bao gồm 7.9 là affected. Trạng thái mặc định bên ngoài phạm vi này được ghi là unaffected, nhưng các nhánh hoặc bản build song song ngoài phạm vi đã được xác minh chưa được mô tả chi tiết.
• Bản vá nguồn của OpenBSD sửa subsystem SysV semaphore, nhưng hồ sơ không nêu bản phát hành hoặc errata cụ thể chứa bản sửa lỗi. Không nên suy ra rằng một bản phát hành cao hơn hoặc một nhánh song song đã được sửa nếu chưa xác minh riêng.

Lỗi nằm trong đường xử lý system call cục bộ sys_semget() của subsystem SysV semaphore trong sys/kern/sysv_sem.c. Đây là lỗi use-after-free xảy ra sau tsleep khi chuyển ngữ cảnh, khiến mã kernel có thể tiếp tục sử dụng đối tượng semaphore sau khi đối tượng đó đã được giải phóng. Bằng chứng nguồn cho thấy bản vá bổ sung reference counter cho semaphore và thay đổi việc giải phóng đối tượng để giữ đối tượng còn hợp lệ trong thời gian sử dụng.

Đầu vào hoặc chuỗi giá trị cụ thể do tiến trình cục bộ cung cấp để kích hoạt lỗi chưa được công bố trong dữ liệu hiện có. Lỗ hổng yêu cầu khả năng thực thi cục bộ; không có tương tác người dùng được yêu cầu theo các đánh giá trong hồ sơ. Mức đặc quyền và độ phức tạp khai thác không thống nhất giữa các đánh giá được cung cấp, vì vậy điều kiện chính xác để kích hoạt vẫn cần được xác minh trong triển khai thực tế.

Lỗ hổng có thể bị khai thác cục bộ thông qua đường xử lý SysV semaphore trong kernel và được mô tả là dẫn đến leo thang đặc quyền lên root. Hồ sơ cung cấp đánh giá không yêu cầu tương tác người dùng, nhưng có sự khác biệt về điều kiện đặc quyền và độ phức tạp: CNA mô tả không yêu cầu đặc quyền với độ phức tạp cao, trong khi NVD đánh giá yêu cầu đặc quyền thấp với độ phức tạp thấp.

Hồ sơ đánh dấu chưa có public exploit. Dữ liệu làm giàu của CISA trong bản ghi cũng ghi nhận trạng thái exploitation là none; đây là trạng thái của đánh giá được cung cấp, không chứng minh rằng mọi khai thác chưa từng tồn tại hoặc sẽ không xuất hiện sau đó. Không có chiến dịch, nạn nhân, payload hay chuỗi khai thác cụ thể nào được xác nhận.

Lỗi có thể biến một khả năng thực thi cục bộ thành quyền root do việc sử dụng đối tượng semaphore sau khi đã được giải phóng. Kết quả kỹ thuật được hồ sơ mô tả bao gồm ảnh hưởng đến tính bí mật, tính toàn vẹn và tính sẵn sàng của hệ thống, nhưng không nêu chi tiết primitive khai thác hoặc mức kiểm soát đạt được trước khi leo thang.

Các đánh giá khác nhau về đặc quyền ban đầu và độ phức tạp khai thác khiến điều kiện vận hành chính xác chưa hoàn toàn rõ ràng. Phạm vi ảnh hưởng được mô tả là không vượt qua một security scope khác, và không có bằng chứng về việc lỗ hổng đã được dùng trong một vụ tấn công cụ thể.

Một khai thác thành công có thể đưa tiến trình cục bộ lên quyền root, làm mất ranh giới đặc quyền của hệ thống. Từ quyền này, kẻ tấn công có thể có khả năng đọc dữ liệu mà tiến trình ban đầu không được phép đọc, thay đổi cấu hình hoặc tệp hệ thống, và làm gián đoạn dịch vụ; đây là các hậu quả có thể xảy ra từ quyền root, không phải bằng chứng về một vụ xâm nhập cụ thể.

Rủi ro tập trung vào các máy OpenBSD cho phép người dùng hoặc dịch vụ chạy mã cục bộ. Không có thông tin xác nhận về nạn nhân, chiến dịch hoặc việc khai thác thực tế trong dữ liệu được cung cấp.

1. Ưu tiên áp dụng bản sửa lỗi của OpenBSD cho sys/kern/sysv_sem.c. Bản vá bổ sung reference counter cho SysV semaphore và sửa lỗi use-after-free sau tsleep trong sys_semget().
2. Nếu xây dựng OpenBSD từ source, xác minh rằng bản vá tương ứng đã có trong source tree và kernel đang chạy được xây dựng từ tree đó. Dữ liệu hiện có không cung cấp một số phiên bản phát hành cố định để dùng làm mốc thay thế.
3. Trong thời gian chưa thể sửa, hạn chế khả năng thực thi mã cục bộ của người dùng và dịch vụ không đặc quyền trên các hệ thống nằm trong phạm vi affected. Đây là biện pháp giảm phơi nhiễm tạm thời, không thay thế cho bản vá.
4. Sau khi sửa, kiểm tra lại inventory phiên bản, provenance của kernel và các hệ thống OpenBSD còn nằm trong phạm vi đến và bao gồm 7.9.

1. Kiểm kê các hệ thống chạy OpenBSD và xác định phiên bản kernel hoặc userland tương ứng với OpenBSD từ 0 đến và bao gồm 7.9.
2. Kiểm tra nguồn build, errata hoặc provenance của kernel để xác định bản vá cho sys/kern/sysv_sem.c đã được tích hợp. Bản vá được mô tả là bổ sung reference counter cho SysV semaphore để xử lý lỗi chuyển ngữ cảnh sau tsleep trong sys_semget().
3. Xác định các hệ thống cho phép người dùng hoặc dịch vụ không đặc quyền thực thi mã cục bộ, vì đây là điều kiện reachability được hồ sơ xác nhận.
4. Như một biện pháp phòng ngừa, rà soát telemetry về tiến trình cục bộ bất thường, thay đổi quyền hoặc trạng thái hệ thống ngoài kế hoạch. Đây không phải là indicator cụ thể của lỗ hổng và việc không có log phù hợp không chứng minh hệ thống an toàn.