CVE-2024-43102

FreeBSD UMTX_SHM_DESTROY: use-after-free umożliwiający RCE lub ucieczkę z sandboxa

CVSS 10.0v3.1pub. 2024-09-05upd. 2024-11-21

Podatność use-after-free w podsystemie UMTX jądra FreeBSD pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu lub ucieczkę z sandboxa Capsicum. Otrzymała maksymalną ocenę CVSS 10.0, co czyni ją podatnością krytyczną wymagającą natychmiastowej reakcji.

▸ Pokaż oryginał (EN)

Concurrent removals of certain anonymous shared memory mappings by using the UMTX_SHM_DESTROY sub-request of UMTX_OP_SHM can lead to decreasing the reference count of the object representing the mapping too many times, causing it to be freed too early. A malicious code exercizing the UMTX_SHM_DESTROY sub-request in parallel can panic the kernel or enable further Use-After-Free attacks, potentially including code execution or Capsicum sandbox escape.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu w obsłudze współbieżnych żądań usunięcia anonimowych współdzielonych odwzorowań pamięci (anonymous shared memory mappings) przy użyciu sub-żądania UMTX_SHM_DESTROY operacji UMTX_OP_SHM. Równoczesne wywołania tego sub-żądania przez wiele wątków powodują zbyt wielokrotne dekrementowanie licznika referencji obiektu reprezentującego dane odwzorowanie. W konsekwencji obiekt zostaje zwolniony przedwcześnie, tworząc klasyczny scenariusz use-after-free. Złośliwy kod wykonujący UMTX_SHM_DESTROY równolegle może doprowadzić do paniki jądra lub umożliwić dalsze ataki wykorzystujące zwolnioną pamięć.

Skutki

Atakujący może wywołać panikę jądra (denial of service), uzyskać możliwość wykonania arbitralnego kodu (RCE) w kontekście jądra lub dokonać ucieczki z sandboxa Capsicum, przejmując kontrolę nad systemem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — patrz advisory FreeBSD-SA-24:14.umtx opublikowane pod adresem https://security.freebsd.org/advisories/FreeBSD-SA-24:14.umtx.asc