Уязвимость в Linux позволяет красть хеши паролей через дампы памяти 😱

Обнаружена дыра в ядре Linux — злоумышленники могут получить хеши паролей через дампы памяти в Ubuntu, RHEL и Fedora. Уже выпускают патчи, но лучше проверить свои системы! 🔒💻 #безопасность #linux

Технический обзор

Исследователи из Qualys Threat Research Unit (TRU) обнаружили две уязвимости класса «race condition» в системах обработки дампов памяти apport и systemd-coredump, используемых в популярных дистрибутивах Linux: Ubuntu, Red Hat Enterprise Linux (RHEL) и Fedora. Уязвимости, получившие идентификаторы CVE-2025-5054 и CVE-2025-4598, позволяют локальному атакующему получить доступ к конфиденциальной информации, включая хеши паролей из файла /etc/shadow.

Технические детали уязвимостей

Механизм эксплуатации CVE-2025-5054 (apport)

1. Условия эксплуатации:

   • Наличие прав на создание пользовательских, mount и pid namespace с полными возможностями
   • Доступ к локальной учетной записи без привилегий

2. Вектор атаки:

   • Атакующий вызывает крах привилегированного процесса
   • Быстро заменяет его другим процессом с тем же PID внутри namespace
   • Apport перенаправляет дамп памяти (содержащий чувствительные данные) в namespace атакующего

Особенности CVE-2025-4598 (systemd-coredump)

• Требуется победа в «гонке условий» (race condition)
• Высокая сложность эксплуатации (оценка Red Hat как Moderate)
• Не затрагивает Debian по умолчанию (требуется ручная установка systemd-coredump)

Практические последствия

1. Демонстрация уязвимости: Qualys разработала PoC-код, показывающий кражу хешей паролей через дамп процесса unix_chkpwd (отвечает за проверку паролей).

2. Риски:

   • Компрометация учетных данных
   • Эскалация привилегий
   • Обход механизмов аутентификации

Меры защиты и обновления

Рекомендуемые действия

1. Для администраторов Ubuntu:

   • Установка обновлений пакета apport
   • Проверка состояния автоматических обновлений (unattended-upgrades)

2. Для RHEL/Fedora:

   • Применение последних обновлений systemd-coredump
   • Мониторинг advisory от Red Hat

3. Общие рекомендации:

   • Ограничение прав на создание namespace
   • Мониторинг аномальной активности процессов
   • Регулярный аудит системных журналов

Статус исправлений

• Canonical выпустила обновления для всех поддерживаемых версий Ubuntu
• Red Hat оценила сложность эксплуатации как высокую
• Gentoo, Amazon Linux и Debian опубликовали соответствующие advisory

Техническое заключение

Обнаруженные уязвимости демонстрируют важность:

1. Своевременного обновления систем
2. Грамотной настройки механизмов обработки дампов памяти
3. Соблюдения принципа минимальных привилегий

Для DevOps-инженеров и администраторов Linux критически важно:

• Провести аудит систем на предмет уязвимых версий
• Реализовать многоуровневую защиту (SELinux/AppArmor)
• Рассмотреть возможность отключения ненужных обработчиков дампов в production-средах

Дальнейшее развитие ситуации требует мониторинга дополнительных advisory от вендоров и сообщества open-source.