OpenBSD-7.9-Errata schließen Kernel-Fehler, die Calif zu einem lokalen Root-Exploit verkettete

Das Sicherheitsunternehmen Calif hat eine Untersuchung veröffentlicht, die beschreibt, wie es Root-Rechte auf OpenBSD erlangte, indem es zwei Kernel-Schwachstellen kombinierte, die das Projekt inzwischen behoben hat. In einem Bericht von Andrew Griffiths vom 16. Oktober erklärte das Unternehmen, einer der Fehler lasse sich rund 37 Jahre bis zu den ursprünglichen BSD-Quellen zurückverfolgen. Nach Angaben von Calif meldete das Unternehmen die Schwachstellen früher in diesem Jahr an OpenBSD, oft zusammen mit vorgeschlagenen Patches.

Laut Calif betrifft die ältere Schwachstelle einen Zähler, der Shared-Memory-Anbindungen erfasst und als vorzeichenbehafteter 16-bit-Wert definiert war, der überlaufen kann. Das Unternehmen erklärte, dieser Überlauf könne über eine Race Condition zu einem use-after-free führen und habe es zusammen mit einem separaten Out-of-Bounds-Schreibzugriff im Kernel einem lokalen Benutzer ermöglicht, Root-Rechte zu erlangen. Calif zufolge funktionierte der Angriff bei aktiviertem KARL-Kernel-Relinking von OpenBSD sowie aktivierten Prozessorschutzfunktionen SMAP und SMEP und erforderte keinen Fehler zur Informationspreisgabe. Der Bericht verlinkt zudem auf Code und einen Proof of Concept.

Calif zufolge wurden die Probleme mit den OpenBSD-Errata 018 und 026 behoben. Auf der Errata-Seite von OpenBSD 7.9 ist 018 auf den 14. September 2026 datiert und als Zuverlässigkeitskorrektur aufgeführt, die einen Ganzzahlüberlauf in shmat verhindert. Errata 026 vom 30. September 2026 ist als Sicherheitskorrektur für einen Fehler bei der Referenzzählung aufgeführt, der im Kernel zu einem use-after-free führen konnte. Beide Einträge gelten für alle Architekturen. Calif nennt beide Errata als Korrekturen für die Probleme in seiner Kette, sodass eine der beiden Korrekturen als Zuverlässigkeits- und nicht als Sicherheitskorrektur gekennzeichnet ist.

Laut der Errata-Seite werden Patches als signierte Unified Diffs verteilt, und das Werkzeug syspatch kann Binär-Updates auf amd64, i386 und arm64 installieren. Korrekturen für unterstützte Releases fließen zudem in den -stable-Zweig ein, den das Projekt nach einer Veröffentlichung ein Jahr lang pflegt. Calif beschreibt den Exploit als lokale Rechteausweitung, was bedeutet, dass ein Angreifer zunächst Zugang zum System benötigen würde.

Über die Errata hinaus skizzierte Calif mehrere Härtungsideen, die ähnliche Angriffswege erschweren sollen. Dazu gehören Integritätsprüfungen, bevor Einträge aus doppelt verketteten Listen entfernt werden, die FreeBSD und NetBSD nach Angaben des Unternehmens bereits umsetzen, sowie mehr Randomisierung des Kernel-Speichers, da die Kernel-Allokatoren von OpenBSD laut Calif deterministisch bleiben, obwohl KARL das Layout der Kernel-Binärdatei randomisiert. Das Unternehmen verwies außerdem auf Compiler-Funktionen wie den Array Bounds Sanitizer und die kommenden Alloc Tokens. Calif erklärte, es habe FreeBSD den Sanitizer vorgeschlagen und dort privat 21 Probleme gemeldet, die er erkannt hätte, und argumentierte, dass die Abwehr ganzer Fehlerklassen an Bedeutung gewinnt, da KI bei der Entdeckung von Schwachstellen hilft.