PinTheft Linux Kernel 漏洞：點樣由 Page Cache 改寫到攞到 Root 權限

問題出現喺 RDS zerocopy send path。呢個機制原本用嚟提升效能：

• Kernel 可以直接由 user memory 傳送資料
• 避免多次 memory copy

但因為記憶體管理複雜，當中嘅錯誤處理邏輯出現漏洞。

喺函式 rds_message_zcopy_from_user() 入面，kernel 會逐頁 pin 住 user memory pages 方便傳送。如果之後發生 page fault，錯誤處理流程會釋放之前 pin 住嘅 pages，但某些情況下會 錯誤釋放（double‑free）或者破壞 reference count。

呢個記憶體管理錯誤就成為提權 exploit 嘅基礎。

PinTheft 攻擊流程（高層概念）

研究人員展示咗點樣將 RDS 嘅 bug 同 Linux 新一代 I/O 機制結合，變成一個可靠嘅提權方法。

1. 觸發 RDS zerocopy double‑free

攻擊者首先觸發 RDS zerocopy 傳送流程。當 page pinning 過程出現 page fault，錯誤處理邏輯會錯誤釋放 memory page，導致 kernel 出現 double‑free 或 reference count 錯亂。

2. 用 io_uring fixed buffers 重新取得該記憶體

下一步利用 io_uring fixed buffers。

io_uring 係 Linux 一個高效能非同步 I/O API，可以預先註冊記憶體 buffer。攻擊者可以操控呢啲 buffer，將之前被錯誤釋放嘅 physical pages 重新分配並控制內容。

3. 將記憶體破壞變成 page‑cache 覆寫

如果被操控嘅 page 對應到 page cache（kernel 用嚟快取檔案內容嘅記憶體區域），攻擊者就可以改寫 page cache 入面嘅資料。

重點係：

• 檔案本身 未必需要修改磁碟內容
• Kernel 仍然會從 page cache 提供被改寫嘅內容

因此就形成一個 page‑cache overwrite primitive。

4. 改寫 SUID‑root 程式

公開 exploit 會針對 SUID‑root executable。

SUID（Set User ID）程式執行時會用檔案擁有者權限（通常係 root）。如果攻擊者改寫咗 page cache 裡面嘅程式內容，kernel 就可能執行被修改嘅版本，但仍然保留 root 權限。

當該程式執行時，攻擊者就可以取得 root access。

哪些 Linux 系統風險較高

漏洞存在於包含受影響 RDS zerocopy 實作嘅 Linux kernel，但實際風險取決於系統設定。

Arch Linux

安全報告指出 Arch Linux 特別值得注意：

• 公開 PoC exploit 已喺 Arch 系統上成功示範。
• 某些 Arch kernel configuration 會提供 RDS module。

因此 Arch 系統成為研究測試嘅主要平台。

啟用 RDS module 嘅系統

理論上任何 Linux 發行版都可能受影響，只要：

• 使用有漏洞嘅 kernel
• RDS module 可以載入或已經載入

常見企業 Linux

報告指出 Ubuntu、Debian、RHEL、AlmaLinux 嘅預設安裝通常 未啟用 RDS module，因此實際風險可能較低。不過管理員仍然應該確認 kernel configuration，而唔好只靠假設。

CloudLinux

CloudLinux 官方表示已測試公開 PoC，並確認 CL7、CL8、CL9、CL10 等平台未受影響。

成功利用漏洞需要哪些條件

PinTheft 一般需要同時滿足幾個條件：

• 攻擊者已取得 本地未授權用戶執行權限。
• 系統運行 存在漏洞嘅 Linux kernel。
• RDS module 可用或已載入。
• 未限制嘅 io_uring 使用（特別係 fixed buffers）。
• 系統存在 SUID‑root executable 可作為提權目標。

缺少其中某些條件，攻擊成功率會大幅下降甚至無法利用。

建議防禦措施

1. 立即更新 Kernel

Linux kernel 已經推出修補程式。最重要嘅防禦方法係 安裝最新 kernel 更新。

更新後必須 重新啟動系統，修補先會生效。

2. 停用未使用嘅 RDS Module

如果基礎架構唔需要 RDS，可以：

• blacklist rds module
• 移除自動載入設定

3. 限制未授權 io_uring

由於 exploit 依賴 io_uring fixed buffers，限制 unprivileged io_uring 可以減少攻擊面。

4. 檢查 SUID 程式

攻擊鏈最後一步係利用 SUID binary。建議：

• 檢查系統上不必要嘅 SUID‑root 程式
• 移除不必要嘅 SUID 權限

5. 減少共享系統本地登入

PinTheft 需要本地執行權限，因此以下環境應優先修補：

• CI runner
• shared hosting
• 多用戶 Linux server
• 開發機

安全層面嘅啟示

PinTheft 顯示現代 Linux kernel exploit 越來越常見嘅模式：將多個子系統組合成攻擊鏈。今次嘅例子就係將 RDS networking code 同 io_uring 非同步 I/O 機制結合。

即使係平時較少使用嘅 kernel module，只要同高效能功能結合，都可能變成高風險攻擊面。因此持續更新 kernel、停用不必要 module、以及縮減 attack surface，仍然係 Linux 系統安全最基本亦最有效嘅做法。