Les errata d'OpenBSD 7.9 corrigent des failles du noyau que Calif a enchaînées en un exploit root local

L'entreprise de sécurité Calif a publié des travaux de recherche décrivant comment elle a obtenu les privilèges root sur OpenBSD en combinant deux failles du noyau que le projet a depuis corrigées. Dans un article d'Andrew Griffiths daté du 16 octobre, l'entreprise affirme que l'un des bogues remonte à environ 37 ans, aux sources BSD d'origine. Calif indique avoir signalé les vulnérabilités à OpenBSD plus tôt cette année, souvent accompagnées de propositions de correctifs.

Selon Calif, la faille la plus ancienne concerne un compteur qui suit les attachements de mémoire partagée et qui était défini comme une valeur signée sur 16-bit, susceptible de déborder. L'entreprise précise que ce débordement pouvait conduire à un use-after-free via une situation de concurrence et, combiné à une écriture hors limites distincte dans le noyau, permettait à un utilisateur local d'élever ses privilèges jusqu'à root. Calif affirme que l'attaque fonctionnait avec la réédition des liens du noyau KARL d'OpenBSD et les protections processeur SMAP et SMEP activées, sans nécessiter de bogue de divulgation d'informations. L'article renvoie également vers du code et une preuve de concept.

Calif indique que les problèmes ont été corrigés dans les errata 018 et 026 d'OpenBSD. Sur la page des errata d'OpenBSD 7.9, l'erratum 018 est daté du 14 septembre 2026 et figure comme correctif de fiabilité empêchant un dépassement d'entier dans shmat. L'erratum 026, daté du 30 septembre 2026, figure comme correctif de sécurité pour un bogue de comptage de références pouvant entraîner une condition de use-after-free dans le noyau. Les deux entrées s'appliquent à toutes les architectures. Calif désigne ces deux errata comme les correctifs des problèmes de sa chaîne ; l'un des deux correctifs porte donc une étiquette de fiabilité plutôt que de sécurité.

La page des errata précise que les correctifs sont distribués sous forme de diffs unifiés signés et que l'utilitaire syspatch peut installer des mises à jour binaires sur amd64, i386 et arm64. Les correctifs destinés aux versions prises en charge sont également intégrés à la branche -stable, que le projet maintient pendant un an après chaque version. Calif décrit l'exploit comme une élévation de privilèges locale, ce qui signifie qu'un attaquant devrait d'abord avoir accès au système.

Au-delà des errata, Calif a présenté plusieurs pistes de durcissement visant à compliquer des chemins d'attaque similaires. Parmi elles figurent des contrôles d'intégrité avant le retrait d'entrées de listes doublement chaînées, que FreeBSD et NetBSD implémentent déjà selon l'entreprise, ainsi qu'une randomisation accrue de la mémoire du noyau, Calif affirmant que les allocateurs du noyau d'OpenBSD restent déterministes même si KARL randomise l'agencement du binaire du noyau. L'entreprise a également cité des fonctionnalités de compilateur telles que l'array bounds sanitizer et les futurs Alloc Tokens. Calif indique avoir suggéré ce sanitizer à FreeBSD et y avoir signalé en privé 21 problèmes qu'il aurait détectés, estimant que neutraliser des classes entières de bogues devient plus important à mesure que l'IA facilite la découverte de vulnérabilités.