ثغرة PinTheft: كيف يمكن لخلل في RDS داخل نواة لينكس أن يتحول إلى وصول كامل بصلاحيات root

أين تقع المشكلة داخل نواة لينكس

الخلل موجود في وحدة RDS داخل نواة لينكس. هذه الوحدة عبارة عن بروتوكول شبكي يستخدم غالباً في البيئات عالية الأداء مثل عناقيد الحوسبة أو أنظمة InfiniBand.

يظهر الخطأ تحديداً في مسار RDS zerocopy send، وهي آلية مصممة لإرسال البيانات مباشرة من ذاكرة المستخدم إلى الشبكة دون نسخ إضافي داخل النواة. هذه التقنية تحسن الأداء لكنها تجعل إدارة الذاكرة أكثر تعقيداً.

أثناء التنفيذ، تقوم الدالة:

rds_message_zcopy_from_user()

بتثبيت صفحات الذاكرة الخاصة بالمستخدم (pinning pages) صفحةً تلو الأخرى تمهيداً لإرسالها. لكن إذا حدث page fault لاحقاً أثناء العملية، فإن مسار معالجة الخطأ يحاول تحرير الصفحات المثبتة مسبقاً بطريقة غير صحيحة، ما يؤدي إلى double‑free أو فساد في عداد المراجع (reference count).

هذا الخطأ في إدارة الذاكرة هو الأساس الذي يسمح ببناء استغلال تصعيد الصلاحيات.

كيف يعمل استغلال PinTheft (بصورة عامة)

أظهر الباحثون أن هذا الخلل يمكن ربطه بميزات حديثة في لينكس لتحويل خطأ إدارة الذاكرة إلى وسيلة موثوقة للحصول على صلاحيات الجذر.

1. تفعيل خطأ RDS zerocopy

يبدأ المهاجم بالوصول إلى المسار الضعيف في RDS. إذا حدث page fault أثناء تثبيت الصفحات، يقوم النظام بتحرير صفحات لا يزال يفترض أن لها مراجع نشطة، مما يترك النواة في حالة ذاكرة غير متسقة.

2. إعادة استخدام الصفحات عبر io_uring

بعد تحرير الصفحات بشكل خاطئ، يستخدم المهاجم ميزة io_uring fixed buffers.

هذه الميزة تسمح للتطبيقات بتسجيل مناطق ذاكرة ثابتة لعمليات الإدخال والإخراج غير المتزامنة عالية الأداء. من خلال التلاعب بهذه المخازن، يمكن للمهاجم إعادة تخصيص الصفحات الفيزيائية المحررة بطريقة يمكن التحكم بها.

3. تحويل الخلل إلى تعديل في page cache

في بعض الحالات، قد تتوافق هذه الصفحات مع ذاكرة page cache، وهي الذاكرة التي تحتفظ فيها النواة بنسخ من بيانات الملفات لتسريع الوصول إليها.

بذلك يصبح لدى المهاجم القدرة على تعديل البيانات الموجودة في page cache دون تغيير الملف الفعلي على القرص.

4. استهداف ملف SUID بصلاحيات الجذر

يستهدف الاستغلال عادةً محتوى ملف تنفيذي يحمل علم SUID ويعمل بصلاحيات root.

عند تعديل النسخة المخزنة في page cache، يقوم النظام لاحقاً بتشغيل الكود المعدل عند تنفيذ الملف، بينما يحتفظ الملف بصلاحيات الجذر. النتيجة: تشغيل كود المهاجم مع صلاحيات root كاملة.

الأنظمة الأكثر عرضة للخطر

وجود الثغرة يعتمد على إصدار النواة وإعدادات النظام.

Arch Linux

أشارت تقارير أمنية إلى أن Arch Linux كان من أول الأنظمة التي ظهر عليها نموذج الاستغلال العملي، ما جعله محور الاختبارات الأولية.

الأنظمة التي تستخدم وحدة RDS

أي توزيعة لينكس قد تكون عرضة نظرياً إذا توفرت الشروط التالية:

• استخدام نواة تحتوي على الكود الضعيف
• توفر أو تحميل وحدة RDS في النظام

توزيعات الخوادم الافتراضية

التقارير تشير إلى أن الإعدادات الافتراضية لبعض التوزيعات مثل Ubuntu وDebian وRHEL وAlmaLinux قد تكون أقل تعرضاً لأن وحدة RDS غالباً ليست مفعلة افتراضياً. ومع ذلك يجب التحقق من إعدادات النظام الفعلية بدلاً من الاعتماد على الافتراضات.

منصات CloudLinux

ذكرت شركة CloudLinux أنها اختبرت نموذج الاستغلال على منصاتها المختلفة وأكدت أن أنظمتها غير متأثرة بهذه الثغرة.

شروط نجاح الهجوم

حتى ينجح الاستغلال عادةً يجب توفر عدة عوامل:

• قدرة المهاجم على تشغيل كود محلياً كمستخدم غير مميز.
• تشغيل نواة لينكس تحتوي على خلل RDS zerocopy.
• توفر أو تحميل وحدة RDS في النظام.
• السماح للمستخدمين غير المميزين باستخدام io_uring.
• وجود ملف SUID-root يمكن استهدافه عبر page cache.

غياب أحد هذه العناصر قد يجعل الاستغلال صعباً جداً أو غير ممكن.

إجراءات الحماية والتخفيف

يمكن لمسؤولي الأنظمة تقليل المخاطر عبر عدة خطوات عملية.

تحديث النواة

أصدر مطورو لينكس تصحيحاً لمعالجة الخلل في مسار RDS. تثبيت آخر تحديث للنواة من مزود التوزيعة هو أهم إجراء أمني.

بعد التحديث يجب إعادة تشغيل النظام حتى تعمل النواة الجديدة.

تعطيل وحدة RDS إذا لم تكن مطلوبة

إذا لم تكن البنية التحتية تحتاج إلى بروتوكول RDS، يمكن تقليل مساحة الهجوم عبر:

• حظر تحميل وحدة rds
• إزالة تحميلها التلقائي

تقييد io_uring للمستخدمين غير المميزين

بما أن سلسلة الاستغلال تعتمد على io_uring fixed buffers، فإن تقييد استخدام io_uring قد يقلل من خطر الاستغلال في بعض البيئات.

مراجعة ملفات SUID

المرحلة الأخيرة من الهجوم تعتمد على ملفات SUID، لذلك من الأفضل:

• مراجعة الملفات التي تملك هذا الامتياز
• إزالة علم SUID من البرامج غير الضرورية

تقليل الوصول المحلي

الأنظمة متعددة المستخدمين مثل:

• خوادم الاستضافة المشتركة
• أنظمة CI
• خوادم التطوير

يجب إعطاؤها أولوية في التحديث لأنها تسمح غالباً بتشغيل كود من مستخدمين متعددين.

الدرس الأمني الأوسع

توضح ثغرة PinTheft أن استغلالات النواة الحديثة غالباً لا تعتمد على خطأ واحد فقط، بل على سلسلة من المكونات المتقدمة داخل النظام. في هذه الحالة تم الجمع بين:

• نظام الشبكات RDS
• إطار الإدخال والإخراج غير المتزامن io_uring

لتحويل خلل بسيط في إدارة الذاكرة إلى تصعيد صلاحيات كامل للنظام. لذلك يبقى تحديث النواة وتقليل الوحدات غير الضرورية من أهم أساليب الحماية في بيئات لينكس.