Errata voor OpenBSD 7.9 dichten kernelbugs die Calif koppelde tot een lokale root-exploit

Beveiligingsbedrijf Calif heeft onderzoek gepubliceerd waarin het beschrijft hoe het rootrechten verkreeg op OpenBSD door twee kernelfouten te combineren die het project inmiddels heeft gepatcht. In een verslag van Andrew Griffiths van 16 oktober zei het bedrijf dat een van de bugs ruwweg 37 jaar teruggaat tot de oorspronkelijke BSD-broncode. Calif zei dat het de kwetsbaarheden eerder dit jaar aan OpenBSD heeft gemeld, vaak samen met voorgestelde patches.

Volgens Calif betreft de oudere fout een teller die koppelingen aan gedeeld geheugen bijhoudt en die was gedefinieerd als signed 16-bit-waarde, waardoor hij kan overlopen. Het bedrijf zei dat deze overloop via een race condition tot een use-after-free kon leiden en, samen met een afzonderlijke out-of-bounds-schrijfactie in de kernel, een lokale gebruiker in staat stelde zijn rechten tot root te verhogen. Calif zei dat de aanval werkte terwijl de KARL-kernelrelinking van OpenBSD en de processorbeveiligingen SMAP en SMEP waren ingeschakeld, en dat er geen bug voor het lekken van informatie nodig was. Het verslag linkt ook naar code en een proof of concept.

Calif zei dat de problemen zijn verholpen in OpenBSD-errata 018 en 026. Op de errata-pagina van OpenBSD 7.9 is 018 gedateerd op 14 september 2026 en staat het vermeld als betrouwbaarheidsfix die een integer overflow in shmat voorkomt. Errata 026, gedateerd op 30 september 2026, staat vermeld als beveiligingsfix voor een fout in de referentietelling die kon resulteren in een use-after-free in de kernel. Beide items gelden voor alle architecturen. Calif noemt beide errata als de fixes voor de problemen in zijn keten, dus een van de twee fixes draagt een betrouwbaarheidslabel in plaats van een beveiligingslabel.

De errata-pagina vermeldt dat patches worden verspreid als ondertekende unified diffs en dat het hulpprogramma syspatch binaire updates kan installeren op amd64, i386 en arm64. Fixes voor ondersteunde releases worden ook opgenomen in de branch -stable, die het project na een release een jaar lang onderhoudt. Calif omschrijft de exploit als een lokale privilege-escalatie, wat betekent dat een aanvaller eerst toegang tot het systeem nodig zou hebben.

Naast de errata schetste Calif verschillende ideeën voor hardening die vergelijkbare aanvalspaden moeilijker moeten maken. Daartoe behoren integriteitscontroles voordat items uit dubbel gelinkte lijsten worden verwijderd, waarvan het bedrijf opmerkte dat FreeBSD en NetBSD die al implementeren, en meer randomisatie van kernelgeheugen, omdat de kernelallocators van OpenBSD volgens Calif deterministisch blijven, ook al randomiseert KARL de indeling van de kernelbinary. Het bedrijf wees ook op compilerfuncties zoals de array bounds sanitizer en de aanstaande Alloc Tokens. Calif zei dat het de sanitizer aan FreeBSD had voorgesteld en daar privé 21 problemen had gemeld die deze zou hebben opgespoord, en betoogde dat het mitigeren van hele bugklassen belangrijker wordt naarmate AI helpt bij het ontdekken van kwetsbaarheden.