37 Jahre alter Kernel-Bug in OpenBSD führt zu Root-Rechten
Big Fish: Exploiting a 37-Year-Old Kernel Bug in OpenBSD
Sicherheitsforscher von Calif haben eine 37 Jahre alte Schwachstelle in OpenBSD ausgebeutet: Ein 16-Bit-Zähler für Shared-Memory-Attachments läuft über und ermöglicht zusammen mit einem Out-of-Bounds-Write lokale Root-Rechte – trotz KARL, SMAP und SMEP. Der Exploit nutzt Heap-Grooming, eine Race Condition und gezielte PTE-Manipulation. Die Lücke wurde in Errata 026 und 018 behoben; zusätzlich schlagen die Forscher Safe-Unlinking, PTE-Randomisierung und Allocator-Randomisierung vor.
Taking a step back, this vulnerability ended up getting code execution via a `write what where` primitive, where the `write` was caused by a `TAILQ_REMOVE`, the `what` was our userland memory mapping that was made supervisor mode accessible to bypass `SMAP`/`SMEP`, and the `where` was a predictable kernel pointer location.