PinTheft Vulnerability: RDS और io_uring के ज़रिए Linux सिस्टम पर Root एक्सेस कैसे मिल सकती है

Linux kernel में हाल ही में सामने आई एक नई सुरक्षा कमजोरी PinTheft सुरक्षा विशेषज्ञों के बीच चर्चा का विषय बन गई है। यह vulnerability स्थानीय (local) attacker को root privileges तक पहुँचने की अनुमति दे सकती है। इसका फायदा उठाने के लिए attackers Linux kernel के Reliable Datagram Sockets (RDS) subsystem में मौजूद एक memory‑management bug और io_uring fixed buffers फीचर का संयोजन इस्तेमाल करते हैं।

इस कमजोरी की खोज V12 Security टीम के Aaron Esau ने की थी। Kernel patch जारी होने के बाद इसका proof‑of‑concept (PoC) exploit भी सार्वजनिक रूप से सामने आया। ध्यान देने वाली बात यह है कि यह remote exploit नहीं बल्कि local privilege escalation (LPE) है — यानी attacker को पहले से सिस्टम पर किसी रूप में लोकल कोड चलाने की क्षमता होनी चाहिए।

Linux Kernel में PinTheft कहाँ से आता है

PinTheft का मूल कारण Linux kernel के RDS (Reliable Datagram Sockets) subsystem में है। यह नेटवर्क प्रोटोकॉल आमतौर पर high‑performance computing (HPC) environments और InfiniBand clusters में इस्तेमाल होता है।

समस्या विशेष रूप से RDS के zerocopy send path में पाई गई। Zerocopy का उद्देश्य डेटा को एक मेमोरी क्षेत्र से दूसरे में भेजते समय अनावश्यक कॉपी से बचना होता है, जिससे प्रदर्शन बेहतर होता है। लेकिन इसी प्रक्रिया में जटिल memory‑management logic शामिल होता है।

Kernel का फ़ंक्शन rds_message_zcopy_from_user() transmission के लिए user memory pages को एक‑एक करके pin करता है। अगर इस प्रक्रिया के दौरान बाद में page fault हो जाए, तो error‑handling logic पहले से pinned pages को release करने की कोशिश करता है। कुछ परिस्थितियों में यह cleanup गलत तरीके से होता है, जिससे double‑free या corrupted reference count जैसी स्थिति बन जाती है।

यही memory bug आगे चलकर privilege escalation का आधार बनता है।

PinTheft exploit कैसे काम करता है (सरल समझ)

शोधकर्ताओं ने दिखाया कि इस bug को Linux के आधुनिक I/O फीचर्स के साथ जोड़कर एक भरोसेमंद exploit बनाया जा सकता है।

1. RDS Zerocopy Double‑Free को Trigger करना

सबसे पहले attacker vulnerable RDS zerocopy path को trigger करता है। Page pinning के दौरान यदि fault होता है तो cleanup logic गलत तरीके से pages को free कर देता है, जबकि kernel के अन्य हिस्से अभी भी उन्हें reference कर सकते हैं। इससे kernel memory state असंगत हो जाती है।

2. io_uring Fixed Buffers से Freed Pages पर Control

इसके बाद exploit io_uring fixed buffers का उपयोग करता है। io_uring Linux में high‑performance asynchronous I/O के लिए इस्तेमाल होने वाला API है।

Attacker carefully crafted buffer registrations के माध्यम से पहले से freed हुए physical memory pages को फिर से allocate कर सकता है, जिससे उस memory पर नियंत्रित प्रभाव मिल जाता है।

3. Page Cache Overwrite Primitive बनाना

अगर corrupted pages वास्तव में page cache का हिस्सा हों — यानी kernel द्वारा RAM में रखी गई file data की कॉपी — तो attacker उस memory को modify कर सकता है।

इसका मतलब है कि kernel जब किसी file को memory से serve करेगा, तो वह modified content देगा, भले ही disk पर असली file बदली न हो।

4. SUID‑Root Binary को Modify करना

Exploit chain का अंतिम चरण आम तौर पर किसी SUID‑root executable को target करता है। SUID (Set User ID) binaries ऐसी executable files होती हैं जो चलने पर root privileges के साथ execute होती हैं।

अगर attacker page cache में stored binary content बदल देता है, तो kernel उसी modified version को execute कर सकता है — और attacker को root access मिल सकता है।

कौन‑से Linux सिस्टम सबसे अधिक प्रभावित हो सकते हैं

सैद्धांतिक रूप से यह bug किसी भी Linux distribution को प्रभावित कर सकता है जिसमें vulnerable kernel मौजूद हो। लेकिन वास्तविक जोखिम सिस्टम configuration पर निर्भर करता है।

Arch Linux

कई सुरक्षा रिपोर्टों में Arch Linux को विशेष रूप से अधिक जोखिम वाला बताया गया है क्योंकि:

• Proof‑of‑concept exploit Arch Linux पर demonstrate किया गया था।
• कुछ configurations में RDS module उपलब्ध या लोड किया जा सकता है।

इसी कारण शुरुआती परीक्षण और demonstrations में Arch Linux प्रमुख लक्ष्य रहा।

RDS Module Enabled Systems

किसी भी Linux distribution पर जोखिम हो सकता है यदि:

• सिस्टम में vulnerable kernel version मौजूद हो
• RDS module enabled या loadable हो

Enterprise Linux Distributions

रिपोर्टों के अनुसार Ubuntu, Debian, RHEL और AlmaLinux की standard installations अपेक्षाकृत कम जोखिम में हो सकती हैं क्योंकि RDS module अक्सर default रूप से सक्रिय नहीं होता। फिर भी administrators को अपनी kernel configuration स्वयं verify करनी चाहिए।

CloudLinux

CloudLinux ने अपने परीक्षणों में बताया कि उनके प्लेटफॉर्म संस्करणों पर public PoC exploit काम नहीं करता।

सफल exploitation के लिए आवश्यक शर्तें

PinTheft exploit आमतौर पर तभी सफल होता है जब कई स्थितियाँ एक साथ मौजूद हों:

• attacker को local unprivileged code execution मिल चुका हो
• सिस्टम vulnerable Linux kernel चला रहा हो
• RDS kernel module उपलब्ध या loadable हो
• io_uring unprivileged users के लिए उपलब्ध हो
• सिस्टम में SUID‑root binary मौजूद हो जिसे exploit target बना सके

इनमें से कोई प्रमुख शर्त अनुपस्थित हो तो exploit काफी कठिन या असंभव हो सकता है।

सुरक्षा उपाय और Mitigation

System administrators कुछ व्यावहारिक कदम उठाकर जोखिम काफी कम कर सकते हैं।

Kernel Patch तुरंत लागू करें

Linux kernel maintainers ने RDS zerocopy bug के लिए patch जारी कर दिया है। अपने distribution के latest kernel update को तुरंत इंस्टॉल करना सबसे महत्वपूर्ण सुरक्षा कदम है।

ध्यान रखें कि kernel update के बाद system reboot करना आवश्यक होता है।

RDS Module Disable करें

यदि आपके infrastructure में RDS networking का उपयोग नहीं होता, तो rds module को blacklist करना attack surface कम कर सकता है।

Unprivileged io_uring Access सीमित करें

क्योंकि exploit chain में io_uring fixed buffers का उपयोग होता है, इसलिए जहाँ संभव हो unprivileged io_uring usage को restrict करना अतिरिक्त सुरक्षा प्रदान कर सकता है।

SUID Binaries का Audit

अनावश्यक SUID‑root executables की समीक्षा करें और जहाँ संभव हो SUID bit हटाएँ। इससे privilege escalation के संभावित targets कम हो जाते हैं।

Shared Systems पर Local Access नियंत्रित करें

PinTheft exploit के लिए local execution जरूरी है, इसलिए shared hosting servers, CI/CD runners और multi‑user systems को प्राथमिकता से patch और harden किया जाना चाहिए।

बड़ी सीख: आधुनिक Kernel Exploits का नया पैटर्न

PinTheft यह दिखाता है कि आज के kernel exploits अक्सर कई अलग‑अलग subsystems को जोड़कर बनाए जाते हैं। यहाँ एक तरफ RDS networking implementation का memory bug है और दूसरी तरफ high‑performance I/O framework io_uring।

जब ये दोनों मिलते हैं तो एक साधारण memory error भी root privilege escalation जैसे गंभीर परिणाम पैदा कर सकता है। इसी कारण नियमित kernel updates, unnecessary modules को disable करना और system hardening आज भी Linux सुरक्षा का सबसे प्रभावी तरीका है।