PinTheft：Linux 核心 RDS 漏洞如何被用來取得 Root 權限

PinTheft 是近期披露的一個 Linux 核心本地權限提升（Local Privilege Escalation, LPE）漏洞。它存在於 Linux 核心的 RDS（Reliable Datagram Sockets）子系統中，攻擊者可以利用 zerocopy 記憶體管理錯誤，再搭配 io_uring fixed buffers 機制，將記憶體錯誤轉化為 page cache 覆寫，最終修改 SUID-root 可執行檔並取得 root 權限。

該漏洞由 V12 Security 團隊研究員 Aaron Esau 發現。由於 Linux 核心修補程式已發布，研究團隊隨後公開了概念驗證（PoC）利用程式。需要注意的是，PinTheft 屬於 本地攻擊漏洞，攻擊者必須先在系統上取得一般使用者等級的執行權限，才能進一步利用漏洞升級為 root。

漏洞影響的核心元件：RDS

PinTheft 發生在 Linux 核心的 RDS（Reliable Datagram Sockets） 網路子系統。RDS 是一種高效能資料傳輸協定，常見於 InfiniBand 高效能運算（HPC）叢集與某些分散式系統環境。

漏洞出現在 RDS zerocopy 傳送路徑。在這種模式下，核心會直接從使用者空間記憶體傳送資料，避免多次複製，以提升效能。但這也使記憶體管理邏輯更加複雜。

在函式 rds_message_zcopy_from_user() 中，核心會逐頁 pin（鎖定）使用者記憶體頁面 以便傳送。如果後續發生 page fault，錯誤處理流程會釋放已鎖定的頁面。但在特定情況下，該流程可能 錯誤地再次釋放已引用的頁面，導致 double‑free 或引用計數錯亂。

這個記憶體管理錯誤正是攻擊鏈的基礎。

PinTheft 攻擊鏈如何運作（高層概念）

研究人員展示了如何將這個核心記憶體錯誤與 Linux 現代 I/O 機制結合，形成可靠的提權攻擊。

1. 觸發 RDS zerocopy double‑free

攻擊者首先觸發 RDS 的 zerocopy 傳送路徑。當頁面鎖定過程中出現 page fault 時，錯誤處理流程可能錯誤釋放仍在使用的頁面，使核心進入 引用狀態不一致或已釋放記憶體仍被引用的狀態。

2. 使用 io_uring fixed buffers 重新佔用頁面

接著利用 io_uring fixed buffers。這是 Linux 的高效能非同步 I/O API，允許應用程式預先註冊記憶體緩衝區供 I/O 使用。

透過精心安排的操作，攻擊者可以 重新分配剛被釋放的實體頁面，並以可控方式佔用這些記憶體位置。

3. 將記憶體破壞轉為 page cache 覆寫

若被影響的頁面對應到 page cache（檔案頁面快取），攻擊者就能將記憶體破壞轉變成 覆寫快取中的檔案內容。

重要的是：這種操作 不會修改磁碟上的檔案，只會改變核心從記憶體快取提供的內容。

4. 修改 SUID-root 程式

公開的攻擊示範將目標設為 SUID-root 可執行檔。SUID 檔案在 Linux 中具有特殊權限：執行時會以檔案擁有者（通常是 root）的權限運行。

當 page cache 中的該執行檔被覆寫後，核心會載入被竄改的版本，但仍保留其 root 權限屬性。

結果是：攻擊者執行該程式時即可 取得 root shell。

哪些系統風險最高

漏洞存在於包含該 RDS 實作的 Linux 核心中，但實際風險取決於系統設定。

Arch Linux

安全研究報告指出 Arch Linux 是早期測試與展示漏洞利用的主要平台，原因包括：

• 公開的 PoC exploit 已在 Arch Linux 上成功示範。
• 某些 Arch 核心配置中 RDS 模組可用。

因此在漏洞披露初期，Arch 系統被認為風險較高。

啟用 RDS 模組的 Linux 系統

只要滿足以下條件，任何 Linux 發行版理論上都可能受影響：

• 系統使用含漏洞的 Linux 核心版本
• RDS 模組已啟用或可被載入

不過許多企業發行版預設並不啟用此模組。

企業發行版預設配置

一些報告指出，Ubuntu、Debian、RHEL 與 AlmaLinux 的預設配置通常未啟用 RDS，因此暴露風險較低。但管理員仍應檢查實際核心設定，而非單純依賴預設假設。

CloudLinux

CloudLinux 官方測試公開的 PoC 後表示，其平台版本 未受此漏洞影響。

成功利用漏洞所需條件

一般而言，攻擊需要同時具備以下條件：

• 攻擊者已取得 本地未特權帳號的程式執行能力。
• 系統執行 包含 RDS zerocopy 漏洞的 Linux 核心版本。
• RDS 核心模組存在或可被載入。
• 未特權使用者可以使用 io_uring API。
• 系統存在 SUID-root 可執行檔 可作為提權目標。

若缺少其中多個條件，漏洞利用難度會顯著增加，甚至無法成功。

防護與修補建議

系統管理員可以透過以下措施降低風險。

更新 Linux 核心

Linux 核心維護者已修補相關 RDS 程式碼。安裝最新核心更新是最重要的防護措施。

更新後需 重新啟動系統 才能生效。

停用未使用的 RDS 模組

如果環境不使用 RDS 網路協定，可透過以下方式降低攻擊面：

• 將 rds 模組加入 blacklist
• 從自動載入設定中移除

限制未授權的 io_uring 使用

由於 exploit 依賴 io_uring fixed buffers，限制未特權使用者存取 io_uring 可降低風險。

審查 SUID-root 程式

攻擊鏈最後階段依賴 SUID 程式，因此應：

• 檢查系統中所有 SUID-root 可執行檔
• 移除不必要的 SUID 權限

限制本地使用者存取

PinTheft 需要本地執行權限，因此 多使用者系統（如 CI runner、共享主機或開發伺服器）應優先更新與加固。

安全上的更大啟示

PinTheft 顯示現代 Linux 核心漏洞往往不是單一錯誤，而是 多個子系統組合利用 的結果。在此案例中，攻擊者結合了：

• RDS 網路子系統的 zerocopy 記憶體錯誤
• io_uring 的高效能 I/O 機制

這種組合使看似冷門的核心模組也可能成為高影響力的攻擊面。

因此，定期更新核心、最小化載入模組與限制不必要的核心功能，仍然是防禦 Linux 核心漏洞最有效的策略之一。