PinTheft: Eksploit Kernel Linux yang Menargetkan RDS dan io_uring

Apa yang Diserang oleh PinTheft di Kernel Linux

Kerentanan ini terdapat pada subsistem RDS (Reliable Datagram Sockets) di kernel Linux. RDS adalah protokol jaringan yang biasanya dipakai dalam lingkungan berperforma tinggi, misalnya cluster InfiniBand atau sistem komputasi terdistribusi.

Masalahnya muncul di jalur pengiriman RDS zerocopy, sebuah mekanisme optimasi yang memungkinkan kernel mengirim data langsung dari memori pengguna tanpa melakukan penyalinan tambahan. Walaupun efisien, teknik ini membuat pengelolaan memori menjadi lebih kompleks.

Di dalam fungsi kernel rds_message_zcopy_from_user(), kernel akan “mem‑pin” halaman memori pengguna satu per satu sebelum mengirimkannya. Jika kemudian terjadi page fault, jalur penanganan error mencoba melepaskan halaman yang sudah dipin sebelumnya. Dalam kondisi tertentu, proses ini membebaskan halaman yang masih direferensikan, sehingga terjadi double‑free atau kerusakan reference count.

Kesalahan inilah yang menjadi dasar eksploitasi PinTheft.

Cara Kerja Eksploit PinTheft (Gambaran Umum)

Para peneliti menunjukkan bahwa bug di RDS dapat digabungkan dengan fitur I/O modern Linux untuk mengubah kesalahan manajemen memori menjadi teknik eskalasi hak akses yang stabil.

1. Memicu Bug Double‑Free di RDS Zerocopy

Penyerang yang sudah memiliki akses lokal memicu jalur RDS zerocopy yang rentan. Ketika terjadi page fault saat proses pinning memori, logika pembersihan membebaskan halaman yang seharusnya masih digunakan, sehingga kernel berada dalam kondisi referensi memori yang tidak konsisten.

2. Mengambil Kembali Halaman Memori dengan io_uring

Selanjutnya eksploit memanfaatkan io_uring fixed buffers, fitur Linux untuk I/O asinkron berperforma tinggi.

Dengan manipulasi buffer yang terdaftar di io_uring, penyerang dapat mengalokasikan kembali halaman memori fisik yang sebelumnya telah dibebaskan secara terkontrol. Ini memberi penyerang pengaruh terhadap lokasi memori yang sebelumnya terkena bug RDS.

3. Mengubah Korupsi Memori Menjadi Overwrite Page Cache

Halaman memori yang rusak bisa saja merupakan bagian dari page cache—cache kernel yang menyimpan data file yang sering diakses.

Dengan teknik ini, penyerang dapat mengubah konten file yang disajikan oleh kernel dari cache, meskipun file asli di disk tidak diubah sama sekali.

4. Memodifikasi Binary SUID‑Root di Cache

Eksploit yang dipublikasikan menargetkan binary SUID‑root yang berada di page cache. Ketika kernel menjalankan file tersebut dari cache yang telah dimodifikasi, kode berbahaya milik penyerang akan dijalankan dengan hak akses root.

Begitu binary tersebut dieksekusi, penyerang mendapatkan akses root penuh pada sistem.

Sistem yang Paling Berisiko

Secara teori, kerentanan ini dapat memengaruhi berbagai distribusi Linux, tetapi tingkat risikonya sangat bergantung pada konfigurasi sistem.

Arch Linux

Beberapa laporan keamanan menyoroti Arch Linux sebagai lingkungan yang paling terekspos karena:

• PoC eksploit berhasil didemonstrasikan pada sistem Arch.
• Modul kernel RDS dapat tersedia atau aktif tergantung konfigurasi kernel.

Kombinasi ini membuat Arch Linux menjadi target awal pengujian eksploit.

Sistem dengan Modul RDS Aktif

Distribusi Linux apa pun berpotensi terdampak jika:

• Sistem menjalankan kernel yang rentan, dan
• modul kernel RDS tersedia atau dimuat.

Namun banyak distribusi enterprise tidak mengaktifkan modul ini secara default.

Konfigurasi Default Enterprise

Laporan keamanan menyebutkan bahwa instalasi standar Ubuntu, Debian, RHEL, dan AlmaLinux kemungkinan lebih aman karena modul RDS biasanya tidak aktif secara default. Meski demikian, administrator tetap disarankan memeriksa konfigurasi kernel masing‑masing.

Platform CloudLinux

CloudLinux melaporkan bahwa setelah menguji PoC pada berbagai versi platformnya, sistem mereka tidak terpengaruh oleh kerentanan ini.

Syarat Agar Eksploit Berhasil

Eksploit PinTheft umumnya memerlukan beberapa kondisi berikut:

• Penyerang memiliki akses eksekusi lokal sebagai pengguna biasa.
• Sistem menjalankan kernel Linux yang rentan terhadap bug RDS zerocopy.
• Modul RDS tersedia atau dapat dimuat pada sistem.
• io_uring dapat digunakan oleh pengguna non‑privileged, karena eksploit memanfaatkan fixed buffers.
• Terdapat binary SUID‑root atau executable dengan hak istimewa yang dapat ditargetkan.

Jika salah satu syarat tersebut tidak terpenuhi, eksploitasi akan jauh lebih sulit atau bahkan tidak mungkin dilakukan.

Mitigasi dan Rekomendasi Keamanan

Administrator sistem dapat mengurangi risiko dengan beberapa langkah berikut.

Perbarui Kernel Linux

Pengelola kernel telah merilis patch untuk jalur kode RDS yang rentan. Memasang pembaruan kernel terbaru dari vendor distribusi merupakan langkah mitigasi utama.

Karena pembaruan kernel membutuhkan restart, sistem harus direboot setelah patch dipasang.

Nonaktifkan Modul RDS Jika Tidak Digunakan

Jika infrastruktur Anda tidak menggunakan RDS, sebaiknya mencegah modul rds dimuat, misalnya dengan:

• mem‑blacklist modul rds
• menghapusnya dari konfigurasi autoload

Batasi Penggunaan io_uring

Karena eksploit memanfaatkan io_uring fixed buffers, membatasi atau menonaktifkan penggunaan io_uring untuk pengguna non‑privileged dapat mengurangi permukaan serangan.

Audit Binary SUID

Tahap akhir eksploit menargetkan binary SUID‑root, sehingga mengaudit file SUID yang tidak diperlukan dan menghapus bit SUID yang tidak penting dapat mengurangi risiko eskalasi hak akses.

Batasi Akses Lokal pada Sistem Bersama

Karena eksploit membutuhkan akses lokal, sistem multi‑user seperti server shared hosting, runner CI/CD, atau mesin pengembangan bersama harus diprioritaskan untuk patching dan hardening.

Pelajaran Keamanan yang Lebih Besar

PinTheft menunjukkan bagaimana eksploit kernel modern sering muncul dari kombinasi beberapa subsistem kompleks—dalam kasus ini modul jaringan RDS dan framework I/O asinkron io_uring.

Bug yang tampak kecil dalam modul kernel yang jarang digunakan dapat berubah menjadi kerentanan serius ketika digabungkan dengan fitur performa modern. Karena itu, praktik keamanan dasar seperti memperbarui kernel secara rutin dan menonaktifkan modul yang tidak diperlukan tetap menjadi pertahanan paling efektif terhadap eksploit tingkat kernel.