CVE-2024-1086: Linux çekirdeğindeki use-after-free yerel saldırganlara root erişimi veriyor

Açığın ne yaptığı

dev.to'daki bir yazıya göre CVE-2024-1086, bir makineye sınırlı erişimi olan bir saldırganın — örneğin sıradan bir kullanıcı hesabının — ayrıcalıkları root seviyesine yükseltmesini sağlayan, yüksek derecede ciddi bir Linux çekirdeği açığıdır. Root erişimiyle saldırgan sistem üzerinde tam kontrol sahibi olur: kötü amaçlı yazılım kurabilir, hassas verileri çalabilir veya makineyi kolayca onarılamayacak şekilde hasara uğratabilir.

Teknik olarak bu hata, kodun serbest bırakılmış belleği kullanmaya devam ettiği bir bellek güvenliği hatası olan use-after-free türündedir. Saldırgan serbest bırakılan belleğin nasıl yeniden tahsis edildiğini etkileyebiliyorsa, yürütmeyi kötü amaçlı koda yönlendirebilir ve böylece incelikli bir bellek hatasını keyfi kod yürütmesine, oradan da tam ayrıcalık yükseltmeye dönüştürebilir.

Hatanın bildirildiğine göre bulunduğu yer

dev.to yazısı bu kusuru, çekirdeğin Wi-Fi işlemlerini yöneten bölümü olan mac80211 alt sistemine atf ediyor ve saldırı vektörünü güvenilmeyen kablosuz ağlara bağlanma olarak çerçeveliyor. Bu ayrıntı ihtiyatla karşılanmalıdır: CVE-2024-1086 ile ilgili daha geniş kamuya açık kayıtlar, onu Wi-Fi sürücüleriyle değil netfilter'ın nf_tables koduyla ilişkilendiriyor; dolayısıyla yazı CVE'leri karıştırıyor olabilir. Her halükârda uygulanabilir sonuç aynıdır — çekirdek güncellemeleriyle giderilmiş bir yerel ayrıcalık yükseltme hatası — ancak belirli bir çekirdek modülünü devre dışı bırakıp bırakmamaya karar veren kişi, etkilenen bileşeni bir blog özetinden değil, satıcısının danışma belgesinden teyit etmelidir.

Etkilenen sistemler ve mevcut düzeltmeler

Yazıya göre birçok büyük dağıtım açığı doğruladı ve yamalar yayımladı; bunlar arasında Debian (DSA-5604-1) ve Ubuntu (USN-6640-1) ile savunmasız bir çekirdek çalıştıran diğer dağıtımlar yer alıyor. Temel çözüm açıktır: yamalanmış bir çekirdeğe güncelleyin ve sabit çekirdeğin fiilen kullanımda olması için yeniden başlatın. Geri taşınan (backport) düzeltmeler çoğu zaman upstream sürümlerle bariz biçimde eşleşmeyen sürüm numaraları taşıdığından, kullanıcılar kendi dağıtımlarının güvenlik duyurularını kontrol etmelidir.

Yamalamanın geciktiği durumlardaki seçenekler

Makale, acil güncellemelerin her zaman mümkün olmadığını kabul ediyor ve geçici önlemleri sıralıyor: en az ayrıcalık ilkelerini uygulayarak yerel kullanıcı erişimini kısıtlamak, kablosuz ağları yalıtmak veya güvence altına almak ve gerekmiyorsa etkilenen modülü devre dışı bırakmak. Ayrıca şüpheli etkinlik için sistem günlüklerinin rutin olarak izlenmesini öneriyor. Bunlar en iyi ihtimalle geçici çözümlerdir — yazının kendisi de bu tür risk azaltma önlemlerinin root'a yol açan bir use-after-free için nadiren yamalama kadar etkili olduğunu belirtiyor — dolayısıyla bunlar bir güncellemenin yerini tutmamalı, ona zaman kazandırmalıdır.

Neden önemli

Ayrıcalıksız bir hesaptan root'a giden güvenilir bir yerel yol, bir saldırganın elinde bulunabilecek en değerli unsurlardan biridir; çünkü herhangi küçük bir ayak izini — ele geçirilmiş düşük ayrıcalıklı bir servis hesabını, düşmanca bir çok kiracılı iş yükünü, kötüye kullanılan bir oturum açmayı — sunucu üzerinde tam kontrole dönüştürür. İlgili çekirdek güncellemelerini hiç almamış sistemler hâlâ açık durumdadır ve bu açığın yamalanmamış makinelerdeki okuyucular için yeniden gündeme getirilmesini gerektiren neden tam olarak budur. Bu olay aynı zamanda iki daha geniş noktayı ortaya koyuyor: çekirdek bellek güvenliği hataları kritik CVE'lerin istikrarlı bir kaynağı olmaya devam ediyor ve ikincil yazılar etkilenen alt sistem gibi ayrıntılarda yanılabilir. Derhal yamalayın, ancak ayrıntıları kendi dağıtımınızın danışma belgelerinden doğrulayın.