📡 Forrás: Cyber Security Hub & Qualys Threat Research Unit
🔍 Érintett komponensek: Apport (Ubuntu), systemd-coredump (RHEL, Fedora)
🛡️ CVE-azonosítók: CVE-2025-5054, CVE-2025-4598
📌 Összefoglaló
A Qualys biztonsági kutatói két, széles körben használt Linux-disztribúciót érintő kritikus hibát azonosítottak, amelyek jelszó-hash-ek és más érzékeny adatok kiszivárgásához vezethetnek a core dump kezelőkön keresztül. A hibák a Set User ID (SUID) folyamatokat érintik, és lokális jogosultságkiterjesztésre adhatnak lehetőséget.
🧩 A sebezhetőségek részletei
| CVE | Érintett disztró | Modul | Verziók |
|---|---|---|---|
| CVE-2025-5054 | Ubuntu | apport | 16.04 → 24.04 (2.33.0-ig) |
| CVE-2025-4598 | RHEL 9/10, Fedora 40/41 | systemd-coredump | Alapértelmezett |
🧬 Típus:
Mindkét sebezhetőség race condition (időzítésfüggő) típusú, amely lehetővé teszi a támadók számára, hogy megkerüljék a core dump fájlok root-only korlátozásait és jelszó-hash-ekhez, titkosítási kulcsokhoz, vagy tokentípusú adatokhoz férjenek hozzá.
💥 Proof-of-Concept és exploit lehetőség
A Qualys működő PoC (Proof-of-Concept) kódot készített, amellyel sikeresen ki lehet olvasni az unix_chkpwd folyamatból kiírt core dump fájlokból a /etc/shadow tartalmát (SHA-hash-ek). Ez a folyamat szinte minden modern Linux rendszeren megtalálható.
🌍 Érintett rendszerek és disztribúciók
- ✅ Ubuntu: 16.04 – 24.04 (Apport 2.33.0-ig)
- ✅ Red Hat / Fedora: RHEL 9 / 10, Fedora 40 / 41 (systemd-coredump alapértelmezett)
- 🔸 Debian: nem sebezhető alapértelmezés szerint, csak ha a systemd-coredump kézzel telepítve van
🧯 Megelőzés és védekezés
🔧 Azonnali javasolt mitigáció: echo 0 > /proc/sys/fs/suid_dumpable
Ez globálisan letiltja a core dump fájlokat SUID programok esetén, ezzel megelőzve az exploitálást. Figyelem: ez a megoldás hátrányosan érintheti a hibakeresési és diagnosztikai funkciókat.
🛠️ Alternatív védekezési lehetőségek:
- Apport vagy systemd-coredump ideiglenes letiltása
- Core dump fájlok mentési könyvtárának jogosultságainak felülvizsgálata
- PAM, journald, SUDO aktivitások monitorozása
- /etc/security/limits.conf vagy systemd unit fájlok használata core limit beállításához
⚖️ Gyártói állásfoglalások
- Canonical (Ubuntu): a hatás főként a memória adatok védelmét érinti, a valós támadási potenciál korlátozott, de óvatosságra intenek.
- Amazon Linux / Debian: szintén kiadtak figyelmeztetéseket; Debian nem érintett CVE-2025-4598 tekintetében.
- Qualys: saját szkripttel segíti a gyors mitigációt.
🚨 Miért súlyos ez?
- A core dump fájlok a memóriatartalom pillanatképét jelentik.
- Jelszó-hash-ek, session tokenek, privát kulcsok kerülhetnek ki belőlük.
- Lateral movement és jogosultságbővítés (privilege escalation) támadásokhoz használhatók.
🛡️ Adminisztrátori teendők (összefoglalás)
- Ellenőrizd, melyik core dump mechanizmus fut:
- systemctl status apport.service
- systemctl status systemd-coredump.socket
- Azonnal alkalmazd a mitigációt:
- echo 0 > /proc/sys/fs/suid_dumpable
- Teszteld staging környezetben, mielőtt élesre telepíted.
- Figyeld a frissítéseket (Canonical, Red Hat, Fedora, Debian, Amazon Linux).
