Исследователи кибербезопасности из подразделения Qualys Threat Research Unit (TRU) раскрыли набор из девяти критических уязвимостей в модуле безопасности AppArmor ядра Linux. Совместно получившие кодовое название «CrackArmor», эти уязвимости представляют собой атаки типа «сбитый с толку заместитель» (confused deputy), которые могут позволить непривилегированным локальным пользователям обходить защиту ядра, повышать привилегии до уровня root и подрывать гарантии изоляции контейнерных сред. По данным Qualys, эти уязвимости существовали в кодовой базе с 2017 года, хотя на данный момент отдельным проблемам не присвоены идентификаторы CVE.
AppArmor — это модуль безопасности Linux (LSM), обеспечивающий принудительное управление доступом (MAC), предназначенный для защиты операционной системы путем ограничения программ ограниченным набором ресурсов. Интегрированный в основную ветку ядра Linux с версии 2.6.36, он является критически важным компонентом для укрепления систем как от внешних, так и от внутренних угроз, предотвращая эксплуатацию уязвимостей приложений. Однако уязвимости CrackArmor выявляют фундаментальные слабости в его реализации. Как пояснил Саид Аббаси, старший менеджер Qualys TRU, уязвимости позволяют непривилегированным пользователям манипулировать профилями безопасности через псевдофайлы, обходить ограничения пространств имен пользователей и в конечном итоге выполнять произвольный код в контексте ядра.
Суть проблемы заключается в уязвимостях типа «сбитый с толку заместитель» — классе уязвимостей, когда привилегированная программа обманывается менее привилегированным субъектом для неправомерного использования своих полномочий. В этом сценарии злоумышленник без прямых разрешений может манипулировать интерфейсами управления профилями AppArmor. Эта манипуляция может отключить критически важную защиту безопасности для служб или применять чрезмерно ограничивающие политики «запретить всё», что приводит к условиям отказа в обслуживании (DoS). Более того, комбинируя эти примитивы манипуляции с присущими уязвимостями уровня ядра в логике разбора профилей, злоумышленники могут вырваться из ограниченных пространств имен пользователей — краеугольного камня изоляции контейнеров — и выполнять несанкционированные действия.
Последствия успешной эксплуатации серьезны. Злоумышленники могут добиться локального повышения привилегий до root через сложное взаимодействие с распространенными системными утилитами, такими как Sudo и Postfix. Кроме того, уязвимости позволяют реализовать другие векторы атак, включая DoS через исчерпание стека и обход рандомизации расположения адресного пространства ядра (KASLR) с помощью операций чтения за пределами границ. Эти возможности предоставляют мощный инструментарий для компрометации серверов Linux, особенно многопользовательских систем и контейнерных платформ, где AppArmor развернут для обеспечения разделения рабочих нагрузок. Системным администраторам рекомендуется следить за официальными исправлениями от поставщиков своих дистрибутивов Linux, поскольку уязвимости затрагивают широкий спектр версий ядра за значительный период времени.
