Errata pro OpenBSD 7.9 uzavírají chyby jádra, které Calif spojil do lokálního root exploitu

Bezpečnostní firma Calif zveřejnila výzkum popisující, jak získala práva roota v OpenBSD spojením dvou chyb jádra, které projekt mezitím opravil. V článku z 16. října, jehož autorem je Andrew Griffiths, společnost uvedla, že jednu z chyb lze vysledovat zhruba 37 let zpět k původním zdrojovým kódům BSD. Calif uvedl, že zranitelnosti nahlásil OpenBSD začátkem tohoto roku, často spolu s navrženými opravami.

Podle Califu se starší chyba týká čítače, který sleduje připojení sdílené paměti a byl definován jako 16-bitová hodnota se znaménkem, která může přetéct. Firma uvedla, že toto přetečení mohlo prostřednictvím souběhu (race condition) vést k use-after-free a spolu se samostatným zápisem mimo hranice v jádře umožnilo lokálnímu uživateli povýšit svá oprávnění na roota. Calif uvedl, že útok fungoval se zapnutým přelinkováním jádra KARL v OpenBSD a s procesorovými ochranami SMAP a SMEP a nevyžadoval chybu umožňující únik informací. Článek také odkazuje na kód a proof of concept.

Calif uvedl, že problémy byly vyřešeny v errata 018 a 026 pro OpenBSD. Na stránce errata pro OpenBSD 7.9 je 018 datováno 14. září 2026 a je uvedeno jako oprava spolehlivosti, která zabraňuje přetečení celého čísla v shmat. Erratum 026 z 30. září 2026 je uvedeno jako bezpečnostní oprava chyby v počítání referencí, která mohla vést ke stavu use-after-free v jádře. Obě položky platí pro všechny architektury. Calif jmenuje obě errata jako opravy problémů ve svém řetězci, takže jedna z obou oprav nese označení oprava spolehlivosti, nikoli bezpečnostní oprava.

Stránka errata uvádí, že opravy jsou distribuovány jako podepsané unified diffy a že nástroj syspatch dokáže instalovat binární aktualizace na amd64, i386 a arm64. Opravy pro podporovaná vydání jsou také začleňovány do větve -stable, kterou projekt udržuje jeden rok po vydání. Calif popisuje exploit jako lokální eskalaci oprávnění, což znamená, že útočník by nejprve potřeboval přístup k systému.

Kromě errata Calif nastínil několik nápadů na zesílení zabezpečení, jejichž cílem je ztížit podobné cesty útoku. Patří mezi ně kontroly integrity před odebráním položek z obousměrně vázaných seznamů, které podle poznámky firmy již implementují FreeBSD a NetBSD, a větší randomizace paměti jádra, protože podle Califu zůstávají alokátory jádra OpenBSD deterministické, přestože KARL randomizuje rozložení binárního souboru jádra. Firma také poukázala na funkce kompilátorů, jako je array bounds sanitizer a připravované Alloc Tokens. Calif uvedl, že sanitizer navrhl projektu FreeBSD a soukromě tam nahlásil 21 problémů, které by sanitizer zachytil, a argumentoval tím, že zmírňování celých tříd chyb nabývá na významu, protože AI pomáhá při odhalování zranitelností.