DirtyClone – pedit COW: Νέες ευπάθειες Linux για κλιμάκωση προνομίων

Οι ερευνητές της JFrog Security αποκάλυψαν μια νέα ευπάθεια κλιμάκωσης προνομίων στον πυρήνα Linux, η οποία εντάσσεται στην ευρύτερη οικογένεια σφαλμάτων DirtyFrag και έχει τη δυνατότητα να προσφέρει σε έναν τοπικό χρήστη πλήρη δικαιώματα διαχειριστή. Η νέα παραλλαγή, που ονομάστηκε DirtyClone και παρακολουθείται ως CVE-2026-43503, βαθμολογείται με δείκτη σοβαρότητας CVSS 8.8 και θεωρείται μία από τις σημαντικότερες αδυναμίες που έχουν αποκαλυφθεί φέτος στο λειτουργικό σύστημα.

Η πρώτη δημόσια τεχνική ανάλυση δημοσιεύθηκε στις 25 Ιουνίου, ενώ η επιδιόρθωση είχε ήδη ενσωματωθεί στην κύρια γραμμή ανάπτυξης του Linux από τις 21 Μαΐου. Οι ειδικοί προειδοποιούν ότι τα συστήματα που δεν έχουν εγκαταστήσει τις σχετικές ενημερώσεις παραμένουν εκτεθειμένα σε επιθέσεις που μπορούν να οδηγήσουν σε πλήρη παραβίαση του συστήματος.

Δείτε επίσης: Ευπάθεια 9 ετών στον Linux Kernel επιτρέπει root πρόσβαση

Πώς λειτουργεί το DirtyClone

Η ευπάθεια σχετίζεται με τον τρόπο που ο πυρήνας Linux διαχειρίζεται την εσωτερική αντιγραφή πακέτων δικτύου. Υπό συγκεκριμένες συνθήκες, ο μηχανισμός που χειρίζεται τα κλωνοποιημένα πακέτα παραλείπει να ενεργοποιήσει ένα κρίσιμο safety flag, το οποίο υποδεικνύει ότι η χρησιμοποιούμενη μνήμη συνδέεται με δεδομένα που βρίσκονται αποθηκευμένα σε αρχεία του δίσκου.

Αυτή η φαινομενικά μικρή παράλειψη επιτρέπει σε έναν επιτιθέμενο να τροποποιήσει δεδομένα που κανονικά θα έπρεπε να θεωρούνται προστατευμένα.

Στο σενάριο που παρουσίασαν οι ερευνητές, ο επιτιθέμενος φορτώνει στη μνήμη ένα privileged binary, όπως το /usr/bin/su, στη συνέχεια συνδέει τις σχετικές σελίδες μνήμης με ένα πακέτο δικτύου και αναγκάζει τον πυρήνα να το εκτελέσει. Το κλωνοποιημένο πακέτο περνά μέσα από ένα IPsec tunnel που ελέγχεται από τον επιτιθέμενο, και κατά τη διαδικασία αποκρυπτογράφησης αντικαθίστανται συγκεκριμένα bytes του εκτελέσιμου αρχείου με κώδικα που έχει επιλέξει ο εισβολέας.

Το αποτέλεσμα είναι εντυπωσιακό: την επόμενη φορά που κάποιος χρήστης εκτελέσει την εντολή su, το σύστημα μπορεί να παραχωρήσει δικαιώματα root στον επιτιθέμενο.

Η επίθεση δεν αφήνει σχεδόν κανένα αποτύπωμα

Ένα από τα πιο ανησυχητικά χαρακτηριστικά του DirtyClone είναι η δυσκολία ανίχνευσής του. Το αρχικό αρχείο στον δίσκο δεν τροποποιείται ποτέ. Οι αλλαγές πραγματοποιούνται αποκλειστικά στη μνήμη του πυρήνα, γεγονός που σημαίνει ότι τα παραδοσιακά εργαλεία ελέγχου ακεραιότητας αρχείων δεν εντοπίζουν παραβίαση. Επιπλέον, η επίθεση δεν δημιουργεί εμφανή ίχνη καταγραφής, ενώ μια απλή επανεκκίνηση επαναφέρει το εκτελέσιμο αρχείο στην αρχική του κατάσταση.

Δείτε επίσης: Ευπάθεια στο Ubuntu Kernel επιτρέπει πρόσβαση Root

Αυτό σημαίνει ότι ένας επιτιθέμενος μπορεί να αποκτήσει προσωρινά δικαιώματα διαχειριστή, να εκτελέσει τις ενέργειές του και να εξαφανιστεί χωρίς εμφανή ίχνη αλλοίωσης του συστήματος.

Ποια συστήματα κινδυνεύουν περισσότερο

Η εκμετάλλευση της ευπάθειας απαιτεί την ύπαρξη του CAP_NET_ADMIN, ώστε ο επιτιθέμενος να μπορέσει να δημιουργήσει το απαραίτητο IPsec tunnel.

Σε διανομές όπως Debian και Fedora, unprivileged user namespaces είναι ενεργοποιημένα από προεπιλογή, επιτρέποντας σε έναν τοπικό χρήστη να αποκτήσει τη συγκεκριμένη δυνατότητα μέσα σε ένα νέο namespace.

Αντίθετα, οι νεότερες εκδόσεις του Ubuntu εφαρμόζουν επιπλέον περιορισμούς μέσω του AppArmor, δυσκολεύοντας τη βασική αλυσίδα εκμετάλλευσης.

Οι ειδικοί θεωρούν ότι μεγαλύτερο κίνδυνο αντιμετωπίζουν τα multi-tenant servers, CI runners, container hosts και Kubernetes clusters, όπου μη αξιόπιστοι χρήστες έχουν τη δυνατότητα δημιουργίας namespaces.

Το DirtyClone είναι η συνέχεια μιας μεγαλύτερης οικογένειας ευπαθειών

Η νέα ανακάλυψη αποτελεί την τέταρτη σοβαρή ευπάθεια της οικογένειας DirtyFrag μέσα σε σύντομο χρονικό διάστημα.

Προηγήθηκε η Copy Fail ευπάθεια CVE-2026-31431, ακολούθησε το DirtyFrag με τα CVE-2026-43284 και CVE-2026-43500 και στη συνέχεια εμφανίστηκε το Fragnesia, το οποίο κατάφερε να παρακάμψει προηγούμενες διορθώσεις.

Το επαναλαμβανόμενο μοτίβο δείχνει ότι το πρόβλημα δεν περιορίζεται σε μία λανθασμένη συνάρτηση του πυρήνα. Η πραγματική αδυναμία βρίσκεται στον τρόπο με τον οποίο διαχειρίζονται τη μνήμη διάφορα υποσυστήματα δικτύωσης του Linux.

Δείτε επίσης: CISA: Ευπάθεια Linux Kernel χρησιμοποιείται για επιθέσεις ransomware

Η φιλοσοφία του zero-copy networking, η οποία σχεδιάστηκε για να προσφέρει υψηλές επιδόσεις αποφεύγοντας περιττές αντιγραφές δεδομένων, φαίνεται ότι δημιουργεί απρόβλεπτες επιπτώσεις όταν ακόμη και ένα safety flag παραλείπεται κατά τη μεταφορά δεδομένων.

Τι πρέπει να κάνουν οι διαχειριστές συστημάτων

Οι ειδικοί συνιστούν την άμεση εγκατάσταση των διαθέσιμων ενημερώσεων ασφαλείας. Η σχετική επιδιόρθωση έχει ήδη ενσωματωθεί στις νεότερες εκδόσεις του πυρήνα Linux και έχει μεταφερθεί σε stable και LTS branches.

Για όσους δεν μπορούν να ενημερώσουν άμεσα τα συστήματά τους, προτείνονται προσωρινά μέτρα περιορισμού της επιφάνειας επίθεσης, όπως η απενεργοποίηση των unprivileged user namespaces και η απενεργοποίηση συγκεκριμένων υποσυστημάτων IPsec όπου αυτό είναι εφικτό.

Παρά τις διαθέσιμες διορθώσεις, οι ερευνητές προειδοποιούν ότι η ιστορία του DirtyFrag πιθανότατα δεν έχει ολοκληρωθεί. Το DirtyClone δεν είναι άλλη μια ευπάθεια, αλλά ένδειξη ενός βαθύτερου αρχιτεκτονικού προβλήματος στον τρόπο λειτουργίας του σύγχρονου Linux.

pedit COW: Δεύτερη ευπάθεια στον Linux Kernel

Άλλη μια ευπάθεια στο traffic-control subsystem του πυρήνα του Linux μπορεί να επιτρέψει σε έναν τοπικό χρήστη χωρίς δικαιώματα να αποκτήσει root σε επηρεαζόμενα συστήματα.

Το CVE-2026-46331, με το παρατσούκλι “pedit COW”, είναι μια μια ευπάθεια “out-of-bounds write” στο packet-editing action (act_pedit), που καταστρέφει το shared page-cache memory. Ένα δημόσιο, λειτουργικό exploit εμφανίστηκε εντός μιας ημέρας από την ανάθεση του CVE στις 16 Ιουνίου. Η Red Hat αξιολογεί το ελάττωμα ως σημαντικό.

Το exploit δεν αγγίζει ποτέ το αρχείο στον δίσκο. Δηλητηριάζει το προσωρινά αποθηκευμένο αντίγραφο ενός setuid root binary (/bin/su) στη μνήμη, εισάγει ένα μικρό payload και εκτελεί αυτήν την τροποποιημένη εικόνα ως root. Οι έλεγχοι ακεραιότητας αρχείων επιστρέφουν καθαροί ενώ ένα root shell είναι ήδη ανοιχτό.

Το exploit χρειάζεται δύο πράγματα: το act_pedit να είναι loadable και τα unprivileged user namespaces να είναι ανοιχτά, δίνοντας στον εισβολέα ένα namespace-local networking capability (CAP_NET_ADMIN) που απαιτείται για την ενεργοποίηση του σφάλματος. Στους δοκιμασμένους στόχους RHEL και Debian, υπήρχαν και οι δύο συνθήκες.

Επηρεαζόμενα συστήματα – Διορθώσεις

• Το Debian έχει διορθώσει το trixie μέσω του καναλιού ασφαλείας του. Τα Debian 11 και 12 εξακολουθούν να αναφέρονται ως ευάλωτα.
• Το Ubuntu παραθέτει τις υποστηριζόμενες εκδόσεις από 18.04 έως 26.04 ως ευάλωτες από τις 25 Ιουνίου.
• Η Red Hat παραθέτει τα RHEL 8, 9 και 10 ως επηρεαζόμενα. Το RHEL 7 δεν αναφέρεται στο ενημερωτικό δελτίο.