Ένα proof-of-concept (PoC) exploit για το CVE-2025-38352, μια ευπάθεια κρίσιμης συνθήκης αγώνα στον πυρήνα του Linux, κυκλοφόρησε δημόσια στο GitHub.
Η ευπάθεια, που ανακαλύφθηκε νωρίτερα αυτό το έτος, στοχεύει την υλοποίηση των χρονοδιακόπτων CPU POSIX και στο παρελθόν είχε γίνει αντικείμενο εκμετάλλευσης σε περιορισμένες, στοχευμένες επιθέσεις εναντίον συσκευών Android 32-bit.
Το CVE-2025-38352 είναι μια ευπάθεια χωρίς χρήση (UAF) στη συνάρτηση handle_posix_cpu_timers() του πυρήνα Linux.
Το ελάττωμα παρουσιάζεται όταν η σημαία διαμόρφωσης CONFIG_POSIX_CPU_TIMERS_TASK_WORK είναι απενεργοποιημένη, μια ρύθμιση που βρίσκεται στους περισσότερους πυρήνες Android 32-bit αλλά όχι σε συστήματα 64-bit.
Η ευπάθεια προκύπτει από μια συνθήκη αγώνα που εμφανίζεται όταν τα χρονόμετρα CPU POSIX ενεργοποιούν εργασίες ζόμπι.
Με τον προσεκτικό συγχρονισμό της δημιουργίας μιας διαδικασίας ζόμπι, τη συγκομιδή της μέσω μιας γονικής διαδικασίας και την ενεργοποίηση της διαγραφής χρονοδιακόπτη, οι εισβολείς μπορούν να προκαλέσουν πρόσβαση στον πυρήνα στην απελευθερωμένη μνήμη, οδηγώντας σε κλιμάκωση προνομίων ή εκτέλεση κώδικα πυρήνα.
Χρονομαλία Εκμεταλλεύομαι
Ο ερευνητής ασφάλειας Faith (που εργάζεται στην εταιρεία ασφάλειας blockchain Zellic) κυκλοφόρησε το “Chronomaly”, ένα πλήρως λειτουργικό exploit που στοχεύει τις εκδόσεις του πυρήνα Linux v5.10.x.
Το exploit παρουσιάστηκε μέσω μιας ολοκληρωμένης σειράς τεχνικών ιστολογίων τριών μερών που καλύπτει τις τεχνικές ανακάλυψης, ανάλυσης και εκμετάλλευσης της ευπάθειας.
Το exploit είναι αξιοσημείωτο για το όχι που απαιτεί πυρήνα μετατοπίσεις συμβόλων ή συγκεκριμένες διευθύνσεις μνήμης, καθιστώντας το φορητό σε διαφορετικές διαμορφώσεις πυρήνα.
Εφαρμόζει εξελιγμένες τεχνικές επέκτασης race-window μέσω χειρισμού χρονοδιακόπτη CPU και στρατηγικής κατανομής cross-cache για δομές sigqueue.
Το exploit απαιτεί ένα σύστημα πολλαπλών πυρήνων με τουλάχιστον δύο CPU για την αξιόπιστη ενεργοποίηση της συνθήκης αγώνα.
Οι δοκιμές επιβεβαιώνουν την επιτυχή εκμετάλλευση σε πυρήνες Linux εικονικοποιημένους από το QEMU που εκτελούν την έκδοση 5.10.157, με παραμέτρους ρυθμιζόμενες για διαφορετικά περιβάλλοντα.
Η ευπάθεια έχει προστεθεί στον Κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών της CISA, υποδεικνύοντας την ενεργή εκμετάλλευση.
Ενώ η απειλή επηρεάζει κυρίως συσκευές Android 32 bit, τα εμπλεκόμενα στοιχεία του πυρήνα υπάρχουν επίσης σε παραλλαγές 32 bit άλλων συστημάτων που βασίζονται σε Linux.
Σύμφωνα με το GitHub συμβουλευτικά, οι χρήστες θα πρέπει να ενημερώσουν σε έναν επιδιορθωμένο πυρήνα ή να ενεργοποιήσουν την επιλογή CONFIG_POSIX_CPU_TIMERS_TASK_WORK.
Η ενημερωμένη έκδοση κώδικα του πυρήνα Linux upstream (commit f90fff1e152dedf52b932240ebbd670d83330eca) αντιμετωπίζει την ευπάθεια αποτρέποντας την επεξεργασία με χρονοδιακόπτη σε εργασίες ζόμπι.
Οι κατασκευαστές συσκευών και οι διαχειριστές συστημάτων θα πρέπει να δώσουν προτεραιότητα στις ενημερώσεις του πυρήνα για να μετριάσουν αυτήν την κρίσιμη ευπάθεια.
