Виявлено критичну вразливість Linux під назвою DirtyFrag: небезпека для серверів та контейнерних середовищ.
Виявлено критичну вразливість Linux під назвою DirtyFrag
Дослідники з кібербезпеки повідомили про нову критичну вразливість Linux під назвою DirtyFrag, яка дозволяє локальне підвищення привілеїв до root. Проблема з’явилася невдовзі після гучної вразливості CopyFail і вже викликала занепокоєння серед Linux-спільноти.
Характеристики вразливості
Частина експертів попереджає, що DirtyFrag може стати особливо небезпечною для серверів, контейнерних середовищ та хмарної інфраструктури. Про нову загрозу повідомило технічне видання Hackaday у щотижневому огляді кібербезпеки.
DirtyFrag поєднує механізми попередньої вразливості CopyFail, пов’язаної з xfrm-ESP у Linux, та нову проблему у функції RPC. Разом вони дозволяють маніпулювати page cache — кешем сторінок ядра Linux, у якому тимчасово зберігаються дані з диска для швидкого доступу.
Механізм атаки
“Dirty Frag працює шляхом поєднання двох помилок ядра — xfrm-ESP Page-Cache Write та RxRPC Page-Cache Write”, — пояснив дослідник безпеки Хюнву Кім, який виявив проблему. За його словами, це дозволяє змінювати захищені системні файли у пам’яті без належної авторизації.
Суть атаки полягає у тому, що ядро Linux віддає перевагу кешованій версії файлу. Якщо зловмисник отримує можливість змінювати вміст кешу сторінок, він фактично може підмінити справжній вміст системного файлу без прямого редагування самого файлу на диску. Саме цим і користується DirtyFrag.
Небезпека для серверів і контейнерних середовищ
Дослідники пояснюють, що атака використовує спеціальні бінарні файли Linux, які запускаються з root-правами, наприклад, su. Вразливість дозволяє змінити код, який мав би запитувати пароль користувача, на запуск shell-оболонки з повними привілеями адміністратора.
Особливу небезпеку DirtyFrag становить для контейнерних середовищ та серверної інфраструктури. Атакувальник потенційно може вийти за межі контейнера, отримати доступ до привілейованого середовища або закріпитися у системі навіть після закриття початкової вразливості, через яку було отримано доступ.
Вразливі системи і рекомендації
За даними NHS England Digital, проблема зачіпає ядра Linux, починаючи приблизно з 2017 року. Серед підтверджених вразливих систем — Ubuntu, Fedora, RHEL, AlmaLinux, openSUSE та CentOS Stream. Canonical також підтвердила проблему в Ubuntu та оцінила рівень небезпеки DirtyFrag у 7,8 бала за шкалою CVSS 3.1, що відповідає рівню HIGH.
Експерти рекомендують адміністраторам тимчасово вимикати вразливі модулі ядра та максимально обмежувати можливість локального виконання коду на серверах.
Реакція органів кібербезпеки
Ситуація привернула увагу й американського агентства кібербезпеки CISA. Попередню вразливість CopyFail уже додали до списку KEV — Known Exploited Vulnerabilities, куди потрапляють уразливості, що активно використовуються у реальних атаках.
Це означає, що державним установам та компаніям рекомендують терміново оновлювати системи та мінімізувати ризики експлуатації Linux-серверів.
