Errata do OpenBSD 7.9 corrigem bugs do kernel que a Calif encadeou em um exploit de root local

A empresa de segurança Calif publicou uma pesquisa que descreve como obteve privilégios de root no OpenBSD combinando duas falhas do kernel que o projeto já corrigiu. Em um relato de Andrew Griffiths datado de 16 de outubro, a empresa afirmou que um dos bugs remonta a aproximadamente 37 anos, aos códigos-fonte BSD originais. A Calif disse que relatou as vulnerabilidades ao OpenBSD anteriormente neste ano, muitas vezes acompanhadas de patches propostos.

Segundo a Calif, a falha mais antiga envolve um contador que registra as vinculações à memória compartilhada e que foi definido como um valor de 16-bit com sinal, o que permite um overflow. A empresa afirmou que esse overflow podia levar a um use-after-free por meio de uma condição de corrida e, junto com uma gravação fora dos limites distinta no kernel, permitia que um usuário local escalasse para root. A Calif disse que o ataque funcionava com a revinculação do kernel KARL do OpenBSD e com as proteções de processador SMAP e SMEP ativadas, e não exigia um bug de divulgação de informações. O relato também traz links para o código e para uma prova de conceito.

A Calif disse que os problemas foram resolvidos nas errata 018 e 026 do OpenBSD. Na página de errata do OpenBSD 7.9, a 018 está datada de 14 de setembro de 2026 e é listada como uma correção de confiabilidade que impede um integer overflow em shmat. A errata 026, datada de 30 de setembro de 2026, é listada como uma correção de segurança para um bug de contagem de referências que podia resultar em uma condição de use-after-free no kernel. Ambas as entradas se aplicam a todas as arquiteturas. A Calif aponta as duas errata como as correções para os problemas de sua cadeia, de modo que uma das duas correções tem um rótulo de confiabilidade, e não de segurança.

A página de errata afirma que os patches são distribuídos como diffs unificados assinados e que o utilitário syspatch pode instalar atualizações binárias em amd64, i386 e arm64. As correções para versões suportadas também são incorporadas ao ramo -stable, que o projeto mantém por um ano após cada lançamento. A Calif descreve o exploit como uma escalada local de privilégios, o que significa que um atacante precisaria primeiro ter acesso ao sistema.

Além das errata, a Calif apresentou várias ideias de hardening voltadas a dificultar caminhos de ataque semelhantes. Entre elas estão verificações de integridade antes da remoção de entradas de listas duplamente encadeadas, que, segundo a empresa, o FreeBSD e o NetBSD já implementam, e mais randomização da memória do kernel, já que a Calif afirmou que os alocadores do kernel do OpenBSD continuam determinísticos, embora o KARL randomize o layout do binário do kernel. A empresa também citou recursos de compiladores como o array bounds sanitizer e os futuros Alloc Tokens. A Calif disse que sugeriu o sanitizer ao FreeBSD e relatou ali, de forma privada, 21 problemas que ele teria detectado, argumentando que mitigar classes inteiras de bugs se torna mais importante à medida que a IA auxilia na descoberta de vulnerabilidades.