Selam, bugün biraz derinlere dalalım. Dirty Pipe diye bilinen CVE-2022-0847, Linux kernel’inde boru (pipe) mekanizmasındaki ufak bir bayrak hatasından kaynaklanıyor. Normalde sayfalar salt okunur olarak işaretlendiğinde değiştirilemez, ama bu zafiyette sayfa önbelleğindeki kirli bayrak düzgün temizlenmiyor. Böylece saldırgan, salt okunur bir dosyayı bile (mesela /etc/passwd) kendi verisiyle üzerine yazabiliyor.
İşin ilginç yanı, exploit için herhangi bir özel yetkiye gerek yok; sadece aynı kullanıcı yetkileriyle çalışan bir işlem yeterli. Pratikte bu, container’lardan kaçış veya root alma için çok hızlı bir yol açıyor.
Kısaca çalışma mantığı şöyle: Saldırgan bir pipe oluşturuyor, içine veri yazıyor, sonra o pipe’ı mmap ile eşleştirip offset hesaplaması yapıyor. Böylece kernel’in sayfa cache’ine ulaşarak hedef dosyanın içeriğini değiştiriyor.
Gerçek hayatta çoğu sistemde hâlâ yamalanmamış kernel’ler olduğu için bu tür açıklar hızlıca değerlendiriliyor. Savunma tarafında ise en temiz çözüm, kernel’i güncel tutmak ve container’larda readonly root filesystem kullanmak.
İşin ilginç yanı, exploit için herhangi bir özel yetkiye gerek yok; sadece aynı kullanıcı yetkileriyle çalışan bir işlem yeterli. Pratikte bu, container’lardan kaçış veya root alma için çok hızlı bir yol açıyor.
Kısaca çalışma mantığı şöyle: Saldırgan bir pipe oluşturuyor, içine veri yazıyor, sonra o pipe’ı mmap ile eşleştirip offset hesaplaması yapıyor. Böylece kernel’in sayfa cache’ine ulaşarak hedef dosyanın içeriğini değiştiriyor.
Gerçek hayatta çoğu sistemde hâlâ yamalanmamış kernel’ler olduğu için bu tür açıklar hızlıca değerlendiriliyor. Savunma tarafında ise en temiz çözüm, kernel’i güncel tutmak ve container’larda readonly root filesystem kullanmak.
