ZDI-CAN-33367: kernelupdate voor Debian 13

We hebben in de nacht van 3 op 4 november een beveiligingsupdate uitgevoerd op onze managed Debian 13-servers voor ZDI-CAN-33367. Deze kwetsbaarheid in de Linux-kernel kon een lokale gebruiker met beperkte rechten toegang geven tot rootrechten.

Voor de kwetsbaarheid is een werkende, openbare exploit beschikbaar. Een aanvaller moet eerst lokaal code op de server kunnen uitvoeren. Vanuit die positie kan de aanvaller rootrechten verkrijgen en daarmee de normale afscherming tussen gebruikers omzeilen.

De kwetsbaarheid is verwant aan de eerdere Dirty Frag-problemen. De daarvoor uitgebrachte patches beschermen niet tegen deze aanvullende aanvalsroute.

De fout bevindt zich in skb_zerocopy(), een functie binnen de netwerkverwerking van de Linux-kernel. Bij het overnemen van geheugenfragmenten wordt een veiligheidsmarkering voor gedeelde geheugenpagina’s niet correct doorgegeven.

Daardoor kan de kernel bijvoorbeeld bij bepaalde IPsec-verwerking de inhoud van een bestand in het werkgeheugen wijzigen, terwijl de gebruiker alleen leesrechten heeft. Een lokale aanvaller kan dit misbruiken om rootrechten te verkrijgen. De patch zorgt ervoor dat de kernel gedeelde geheugenpagina’s correct herkent en vóór het wijzigen een aparte kopie maakt.

We hebben de beschikbare kernelupdate geïnstalleerd op onze managed Debian 13-servers. De betrokken servers zijn vervolgens herstart om de bijgewerkte kernel te activeren. Daarmee is deze kwetsbaarheid verholpen.

Nee. Wij hebben de kernelupdate en de benodigde herstart uitgevoerd. Als onderdeel van ons managed beheer zorgen wij voor de beveiligingsupdates van je server.