Errata OpenBSD 7.9 menutup bug kernel yang dirangkai Calif menjadi eksploit root lokal

Perusahaan keamanan Calif telah menerbitkan riset yang menjelaskan bagaimana mereka memperoleh hak akses root di OpenBSD dengan menggabungkan dua celah kernel yang kini telah ditambal oleh proyek tersebut. Dalam tulisan Andrew Griffiths bertanggal 16 Oktober, perusahaan itu mengatakan salah satu bug dapat ditelusuri kembali sekitar 37 tahun ke kode sumber BSD asli. Calif mengatakan pihaknya telah melaporkan kerentanan tersebut kepada OpenBSD awal tahun ini, sering kali disertai usulan patch.

Menurut Calif, celah yang lebih lama menyangkut sebuah penghitung yang melacak penautan (attachment) memori bersama dan didefinisikan sebagai nilai 16-bit bertanda (signed), yang dapat mengalami overflow. Perusahaan itu mengatakan overflow ini dapat menyebabkan use-after-free melalui kondisi balapan (race condition) dan, bersama dengan penulisan di luar batas (out-of-bounds write) yang terpisah di kernel, memungkinkan pengguna lokal menaikkan hak aksesnya menjadi root. Calif mengatakan serangan itu berhasil dengan relinking kernel KARL milik OpenBSD serta proteksi prosesor SMAP dan SMEP dalam keadaan aktif, dan tidak memerlukan bug kebocoran informasi. Tulisan tersebut juga menautkan ke kode dan proof of concept.

Calif mengatakan masalah tersebut telah diatasi dalam errata OpenBSD 018 dan 026. Di halaman errata OpenBSD 7.9, errata 018 bertanggal 14 September 2026 dan tercantum sebagai perbaikan keandalan (reliability fix) yang mencegah integer overflow di shmat. Errata 026, bertanggal 30 September 2026, tercantum sebagai perbaikan keamanan untuk bug penghitungan referensi yang dapat mengakibatkan kondisi use-after-free di kernel. Kedua entri berlaku untuk semua arsitektur. Calif menyebut kedua errata sebagai perbaikan untuk masalah dalam rantai eksploitnya, sehingga salah satu dari dua perbaikan itu berlabel keandalan, bukan keamanan.

Halaman errata menyatakan bahwa patch didistribusikan sebagai unified diff bertanda tangan, dan bahwa utilitas syspatch dapat memasang pembaruan biner di amd64, i386, dan arm64. Perbaikan untuk rilis yang didukung juga dimasukkan ke cabang -stable, yang dipelihara proyek selama satu tahun setelah rilis. Calif menggambarkan eksploit tersebut sebagai eskalasi hak akses lokal, yang berarti penyerang terlebih dahulu memerlukan akses ke sistem.

Di luar errata, Calif menguraikan beberapa gagasan penguatan (hardening) yang bertujuan mempersulit jalur serangan serupa. Gagasan itu mencakup pemeriksaan integritas sebelum entri dihapus dari doubly linked list, yang menurut catatan perusahaan itu sudah diterapkan FreeBSD dan NetBSD, serta randomisasi memori kernel yang lebih banyak, karena menurut Calif alokator kernel OpenBSD tetap deterministik meskipun KARL mengacak tata letak biner kernel. Perusahaan itu juga menunjuk fitur kompiler seperti array bounds sanitizer dan Alloc Tokens yang akan datang. Calif mengatakan pihaknya telah menyarankan sanitizer tersebut kepada FreeBSD dan secara privat melaporkan 21 masalah di sana yang seharusnya dapat terdeteksi olehnya, dengan berargumen bahwa memitigasi seluruh kelas bug semakin penting seiring AI membantu penemuan kerentanan.