Τα errata του OpenBSD 7.9 διορθώνουν σφάλματα πυρήνα που η Calif συνδύασε σε τοπικό exploit root

Η εταιρεία ασφάλειας Calif δημοσίευσε έρευνα που περιγράφει πώς απέκτησε δικαιώματα root στο OpenBSD συνδυάζοντας δύο σφάλματα του πυρήνα, τα οποία το έργο έχει στο μεταξύ διορθώσει. Σε ανάλυση του Andrew Griffiths με ημερομηνία 16 Οκτωβρίου, η εταιρεία ανέφερε ότι ένα από τα σφάλματα ανάγεται περίπου 37 χρόνια πίσω, στον αρχικό πηγαίο κώδικα του BSD. Η Calif δήλωσε ότι ανέφερε τις ευπάθειες στο OpenBSD νωρίτερα φέτος, συχνά μαζί με προτεινόμενες διορθώσεις (patches).

Σύμφωνα με την Calif, το παλαιότερο σφάλμα αφορά έναν μετρητή που καταγράφει τις προσαρτήσεις κοινόχρηστης μνήμης και είχε οριστεί ως προσημασμένη τιμή 16-bit, η οποία μπορεί να υπερχειλίσει. Η εταιρεία ανέφερε ότι αυτή η υπερχείλιση μπορούσε να οδηγήσει σε use-after-free μέσω συνθήκης ανταγωνισμού (race condition) και, σε συνδυασμό με μια ξεχωριστή εγγραφή εκτός ορίων στον πυρήνα, επέτρεψε σε τοπικό χρήστη να αποκτήσει δικαιώματα root. Η Calif ανέφερε ότι η επίθεση λειτούργησε με ενεργοποιημένη την επανασύνδεση πυρήνα KARL του OpenBSD και τις προστασίες επεξεργαστή SMAP και SMEP, και δεν απαιτούσε σφάλμα διαρροής πληροφοριών. Η ανάλυση παραπέμπει επίσης σε κώδικα και σε απόδειξη της ιδέας (proof of concept).

Η Calif ανέφερε ότι τα ζητήματα αντιμετωπίστηκαν στα errata 018 και 026 του OpenBSD. Στη σελίδα errata του OpenBSD 7.9, το 018 φέρει ημερομηνία 14 Σεπτεμβρίου 2026 και αναφέρεται ως διόρθωση αξιοπιστίας που αποτρέπει υπερχείλιση ακεραίου στη shmat. Το errata 026, με ημερομηνία 30 Σεπτεμβρίου 2026, αναφέρεται ως διόρθωση ασφάλειας για σφάλμα καταμέτρησης αναφορών που θα μπορούσε να οδηγήσει σε κατάσταση use-after-free στον πυρήνα. Και οι δύο καταχωρίσεις ισχύουν για όλες τις αρχιτεκτονικές. Η Calif κατονομάζει και τα δύο errata ως τις διορθώσεις για τα ζητήματα της αλυσίδας της, άρα η μία από τις δύο διορθώσεις φέρει χαρακτηρισμό αξιοπιστίας και όχι ασφάλειας.

Η σελίδα errata αναφέρει ότι οι διορθώσεις διανέμονται ως υπογεγραμμένα unified diffs και ότι το βοηθητικό πρόγραμμα syspatch μπορεί να εγκαταστήσει δυαδικές ενημερώσεις σε amd64, i386 και arm64. Οι διορθώσεις για τις υποστηριζόμενες εκδόσεις ενσωματώνονται επίσης στον κλάδο -stable, τον οποίο το έργο συντηρεί για ένα έτος μετά από μια έκδοση. Η Calif περιγράφει το exploit ως τοπική κλιμάκωση δικαιωμάτων, που σημαίνει ότι ένας επιτιθέμενος θα χρειαζόταν πρώτα πρόσβαση στο σύστημα.

Πέρα από τα errata, η Calif περιέγραψε αρκετές ιδέες θωράκισης που στοχεύουν να δυσκολέψουν παρόμοιες διαδρομές επίθεσης. Σε αυτές περιλαμβάνονται έλεγχοι ακεραιότητας πριν από την αφαίρεση στοιχείων από διπλά συνδεδεμένες λίστες, τους οποίους, όπως σημείωσε η εταιρεία, τα FreeBSD και NetBSD εφαρμόζουν ήδη, καθώς και περισσότερη τυχαιοποίηση της μνήμης του πυρήνα, αφού, όπως ανέφερε η Calif, οι εκχωρητές μνήμης του πυρήνα του OpenBSD παραμένουν ντετερμινιστικοί, παρότι το KARL τυχαιοποιεί τη διάταξη του δυαδικού αρχείου του πυρήνα. Η εταιρεία επισήμανε επίσης δυνατότητες μεταγλωττιστή όπως το array bounds sanitizer και τα επερχόμενα Alloc Tokens. Η Calif ανέφερε ότι είχε προτείνει το sanitizer στο FreeBSD και ότι ανέφερε εκεί ιδιωτικά 21 ζητήματα που αυτό θα είχε εντοπίσει, υποστηρίζοντας ότι ο περιορισμός ολόκληρων κατηγοριών σφαλμάτων γίνεται όλο και πιο σημαντικός καθώς η AI συνδράμει στον εντοπισμό ευπαθειών.