Δύο ευπάθειες σε Apport και systemd-coredump θέτουν σε κίνδυνο ευαίσθητα δεδομένα σε Linux συστήματα

Δύο κρίσιμες ευπάθειες αποκάλυψε η Qualys Threat Research Unit (TRU) σε handlers που διαχειρίζονται core dumps σε διανομές Linux όπως Ubuntu, Red Hat Enterprise Linux και Fedora. Οι ευπάθειες, με κωδικούς CVE-2025-5054 και CVE-2025-4598, εντοπίζονται στα Apport και systemd-coredump αντίστοιχα, και αφορούν συνθήκες αγώνα (race conditions) που θα μπορούσαν να επιτρέψουν σε τοπικούς μη προνομιούχους χρήστες να αποκτήσουν πρόσβαση σε ευαίσθητο περιεχόμενο μνήμης από crashed SUID διεργασίες.

Τι ακριβώς είναι οι ευπάθειες;

CVE-2025-5054 (CVSS 4.7):

Αφορά την υλοποίηση του Apport έως και την έκδοση 2.32.0 στο Ubuntu. Ένας τοπικός επιτιθέμενος μπορεί να προκαλέσει crash σε SUID διεργασία και, μέσω ανακύκλωσης PID σε container, να παρακάμψει τους ελέγχους του Apport και να λάβει το core dump του αρχικού, προνομιούχου process εντός namespace.

CVE-2025-4598 (CVSS 4.7):

Πρόκειται για ευπάθεια στο systemd-coredump, όπου ο επιτιθέμενος προκαλεί crash σε SUID διεργασία και έπειτα αντικαθιστά το binary με μη-SUID διεργασία με το ίδιο PID, για να ανακτήσει το core dump με προνομιούχο περιεχόμενο (όπως το αρχείο /etc/shadow). Η ευπάθεια δεν επηρεάζει τα Ubuntu, ενώ τα Debian συστήματα δεν επηρεάζονται εξ ορισμού εκτός αν έχει εγκατασταθεί το systemd-coredump.

Ποιος κινδυνεύει;

Παρότι η αξιολόγηση σοβαρότητας είναι "Μέτρια", η Qualys δημοσίευσε proof-of-concept exploits που αποδεικνύουν ότι η πρόσβαση σε δεδομένα όπως hashed passwords από το /etc/shadow είναι δυνατή. Το εργαλείο unix_chkpwd, που χρησιμοποιείται για την επαλήθευση συνθηματικών, χρησιμοποιήθηκε για την επίδειξη της επίθεσης.

Πώς να προστατευτείτε

Για όσους δεν μπορούν να αναβαθμίσουν άμεσα το systemd, η Red Hat προτείνει την απενεργοποίηση των core dumps από SUID binaries μέσω:

echo 0 > /proc/sys/fs/suid_dumpable

Αυτό, ωστόσο, απενεργοποιεί πλήρως τη δυνατότητα δημιουργίας core dumps για SUID προγράμματα, γεγονός που επηρεάζει την ανάλυση σφαλμάτων για τέτοιες διεργασίες. Παρόμοιες οδηγίες εξέδωσαν και οι Amazon Linux, Debian, και Gentoo.

Επιπτώσεις και σύσταση

Κατά την Qualys, η εκμετάλλευση αυτών των ευπαθειών θα μπορούσε να αποκαλύψει κρυπτογραφικά κλειδιά, συνθηματικά, tokens ή άλλα ευαίσθητα δεδομένα που βρίσκονται προσωρινά στη μνήμη των προνομιούχων διεργασιών. Οι επιχειρήσεις που χρησιμοποιούν Apport ή systemd-coredump σε περιβάλλοντα πολυ-χρηστών ή containerized υποδομές θα πρέπει να προχωρήσουν σε:

• Ενημέρωση των πακέτων Apport και systemd

• Αναθεώρηση των πολιτικών core dump

• Περιορισμό πρόσβασης σε core dumps

• Συνεχή παρακολούθηση crash events

Εν Κατακλείδι

Οι CVE-2025-5054 και CVE-2025-4598 υπενθυμίζουν ότι ακόμα και υποσυστήματα διαχείρισης σφαλμάτων μπορούν να μετατραπούν σε πηγή διαρροής κρίσιμων δεδομένων. Η έγκαιρη υιοθέτηση διορθώσεων και ο επανασχεδιασμός των πολιτικών πρόσβασης στα crash dumps αποτελούν βασικά μέτρα προστασίας, ιδιαίτερα σε περιβάλλοντα με αυξημένο κίνδυνο εσωτερικών επιθέσεων.