Errata för OpenBSD 7.9 täpper till kärnbuggar som Calif kedjade ihop till en lokal root-exploit

Säkerhetsföretaget Calif har publicerat forskning som beskriver hur det fick root-behörighet på OpenBSD genom att kombinera två kärnfel som projektet sedan dess har åtgärdat. I en text av Andrew Griffiths daterad den 16 oktober uppgav företaget att en av buggarna kan spåras ungefär 37 år tillbaka till de ursprungliga BSD-källkoderna. Calif uppgav att det rapporterade sårbarheterna till OpenBSD tidigare i år, ofta tillsammans med förslag på patchar.

Enligt Calif rör det äldre felet en räknare som håller reda på anslutningar till delat minne och som definierades som ett 16-bitars värde med tecken, vilket kan svämma över. Företaget uppgav att detta överflöde via ett kapplöpningstillstånd (race condition) kunde leda till use-after-free och, tillsammans med en separat skrivning utanför gränserna i kärnan, gjorde det möjligt för en lokal användare att eskalera till root. Calif uppgav att attacken fungerade med OpenBSD:s kärnomlänkning KARL samt processorskydden SMAP och SMEP aktiverade, och att den inte krävde någon bugg som läcker information. Texten länkar även till kod och en proof of concept.

Calif uppgav att problemen åtgärdades i OpenBSD-errata 018 och 026. På errata-sidan för OpenBSD 7.9 är 018 daterad den 14 september 2026 och listas som en tillförlitlighetsrättning som förhindrar ett heltalsöverflöde i shmat. Errata 026, daterad den 30 september 2026, listas som en säkerhetsrättning för en bugg i referensräkningen som kunde leda till ett use-after-free-tillstånd i kärnan. Båda posterna gäller för alla arkitekturer. Calif anger båda errata som rättningarna för problemen i sin kedja, vilket innebär att en av de två rättningarna bär etiketten tillförlitlighet snarare än säkerhet.

Errata-sidan anger att patchar distribueras som signerade unified diffs, och att verktyget syspatch kan installera binära uppdateringar på amd64, i386 och arm64. Rättningar för versioner som stöds förs också in i grenen -stable, som projektet underhåller i ett år efter en release. Calif beskriver exploiten som en lokal privilegieeskalering, vilket innebär att en angripare först skulle behöva åtkomst till systemet.

Utöver errata redogjorde Calif för flera härdningsidéer som syftar till att försvåra liknande attackvägar. Dessa omfattar integritetskontroller innan poster tas bort från dubbellänkade listor, något som företaget påpekade att FreeBSD och NetBSD redan implementerar, samt mer slumpmässighet i kärnminnet, eftersom Calif uppgav att OpenBSD:s minnesallokerare i kärnan förblir deterministiska trots att KARL slumpar kärnbinärens layout. Företaget pekade även på kompilatorfunktioner som array bounds sanitizer och de kommande Alloc Tokens. Calif uppgav att det hade föreslagit sanitizern för FreeBSD och privat rapporterat 21 problem där som den skulle ha fångat, och hävdade att det blir allt viktigare att motverka hela buggklasser när AI bistår vid upptäckt av sårbarheter.