Le errata di OpenBSD 7.9 chiudono i bug del kernel che Calif ha concatenato in un exploit root locale

La società di sicurezza Calif ha pubblicato una ricerca che descrive come abbia ottenuto i privilegi di root su OpenBSD combinando due falle del kernel che il progetto ha nel frattempo corretto. In un resoconto di Andrew Griffiths datato 16 ottobre, l'azienda ha affermato che uno dei bug risale a circa 37 anni fa, ai sorgenti BSD originali. Calif ha dichiarato di aver segnalato le vulnerabilità a OpenBSD in precedenza nel corso di quest'anno, spesso insieme a patch proposte.

Secondo Calif, la falla più vecchia riguarda un contatore che tiene traccia degli agganci alla memoria condivisa ed era definito come valore a 16-bit con segno, che può andare in overflow. La società ha affermato che questo overflow poteva portare a un use-after-free tramite una race condition e, insieme a una distinta scrittura fuori dai limiti nel kernel, consentiva a un utente locale di ottenere i privilegi di root. Calif ha dichiarato che l'attacco funzionava con il ricollegamento del kernel KARL di OpenBSD e con le protezioni del processore SMAP e SMEP attive, e non richiedeva un bug di divulgazione di informazioni. Il resoconto rimanda inoltre al codice e a un proof of concept.

Calif ha affermato che i problemi sono stati risolti nelle errata 018 e 026 di OpenBSD. Nella pagina delle errata di OpenBSD 7.9, la 018 è datata 14 settembre 2026 ed è indicata come correzione di affidabilità che impedisce un integer overflow in shmat. L'errata 026, datata 30 settembre 2026, è indicata come correzione di sicurezza per un bug nel conteggio dei riferimenti che poteva provocare una condizione di use-after-free nel kernel. Entrambe le voci si applicano a tutte le architetture. Calif indica entrambe le errata come correzioni per i problemi della sua catena, quindi una delle due correzioni porta l'etichetta di affidabilità anziché quella di sicurezza.

La pagina delle errata afferma che le patch sono distribuite come diff unificati firmati e che l'utilità syspatch può installare aggiornamenti binari su amd64, i386 e arm64. Le correzioni per le release supportate vengono inoltre integrate nel ramo -stable, che il progetto mantiene per un anno dopo ogni release. Calif descrive l'exploit come un'escalation locale dei privilegi, il che significa che un attaccante dovrebbe prima avere accesso al sistema.

Oltre alle errata, Calif ha delineato diverse idee di hardening volte a rendere più difficili percorsi di attacco simili. Tra queste, controlli di integrità prima della rimozione di elementi dalle liste doppiamente concatenate, che secondo la società FreeBSD e NetBSD implementano già, e una maggiore randomizzazione della memoria del kernel, poiché Calif ha affermato che gli allocatori del kernel di OpenBSD restano deterministici anche se KARL randomizza la disposizione del binario del kernel. La società ha inoltre indicato funzionalità dei compilatori come l'array bounds sanitizer e i prossimi Alloc Tokens. Calif ha dichiarato di aver suggerito il sanitizer a FreeBSD e di aver segnalato privatamente lì 21 problemi che esso avrebbe individuato, sostenendo che mitigare intere classi di bug diventa più importante man mano che l'IA aiuta a scoprire vulnerabilità.