Dirty Pipe, 2022 yılında açıklanan ve CVE-2022-0847 olarak kayıtlı, Linux çekirdeğinin pipe (boru) mekanizmasındaki bir hatadan doğan kritik bir zafiyettir. Bu hata sayesinde sıradan bir kullanıcı, normalde yalnızca okuma izni olduğu dosyaların içeriğini bellekte değiştirebilir ve bunu yerel yetki yükseltmeye çevirebilir.

Dirty Pipe, çekirdeğin sayfa önbelleğindeki tek bir bayrak hatasının, salt okunur bir dosyayı yazılabilir kılabileceğini gösterdi.

Hata Nasıl Ortaya Çıkar?

Linux’ta bir dosya okunduğunda içeriği çekirdeğin sayfa önbelleğinde tutulur; pipe’lar da veriyi bu sayfa yapılarıyla taşır. Zafiyet, bir pipe tamponunun ‘birleştirilebilir’ (mergeable) durumunu belirten bayrağın belirli işlem sıralamalarında düzgün sıfırlanmamasından kaynaklanır. Bu durumda saldırgan, önbellekte bulunan bir dosya sayfasına pipe üzerinden veri yazdığında, çekirdek yazımı yanlışlıkla o dosyanın önbellek sayfasına uygular.

Yazma işlemi diskteki dosyanın izinlerini kontrol etmeden, doğrudan bellekteki kopyaya yapıldığı için okuma izni yeterli olur. Saldırgan bu tekniği yapı olarak basit tutabilir; birkaç sistem çağrısını doğru sırayla düzenleyerek hedef dosyanın istediği baytlarını değiştirebilir. Değiştirilen içerik sayfa önbelleğinde kaldığı sürece sistem tarafından geçerli kabul edilir.

Yetki Yükseltmeye Dönüşümü

Bu ilkel yazma yeteneği, doğru hedef seçildiğinde tam sistem ele geçirmeye uzanır. En bilinen yöntem, tüm kullanıcıların okuyabildiği ama yazamadığı /etc/passwd dosyasını değiştirerek bir hesabın parola alanını sıfırlamak ya da root yetkili bir hesap eklemektir. Alternatif olarak, root tarafından çalıştırılan bir SUID ikili dosyasının içeriği değiştirilerek yetki yükseltme elde edilir.

Dirty Pipe’ın etkisi izole makinelerle sınırlı kalmaz. Paylaşımlı bir ortamda ya da bir konteyner içinde ele geçirilen düşük yetkili bir süreç, çekirdek host ile paylaşıldığından bu açığı konteynerden kaçış için bir dayanak olarak kullanabilir; çünkü çekirdek zafiyetleri konteyner sınırının altında, tüm sistemi ilgilendiren katmanda bulunur.

Tespit ve Kapatma

• Çekirdeğin yamalı sürüme güncellenmesi, çünkü bu tamamen çekirdek düzeyinde bir hatadır
• Hemen yamalanamayan sistemlerde kritik dosyalarda beklenmedik değişikliklerin izlenmesi
• Kullanıcıların çalıştırdığı süreçlerin ve şüpheli sistem çağrısı desenlerinin denetlenmesi
• Konteyner ortamlarında host çekirdeğinin de güncel tutulduğunun doğrulanması

Dirty Pipe yalnızca çekirdek yamasıyla kesin olarak kapanır, bu yüzden düzenli yama yönetimi bu tür açıklara karşı ilk savunma hattıdır. Yama gecikmesi yaşanan ortamlarda ise saldırının bıraktığı izleri erken görebilmek için sistem düzeyinde günlük tutmak gerekir; Linux denetim günlükleri kritik dosyalara yapılan olağan dışı yazma girişimlerini kayıt altına alarak istismarın fark edilmesine yardımcı olur. Bir uzlaşma şüphesinde Privia Security’nin olay inceleme ve olay müdahalesi ekibi, saldırganın çekirdek düzeyindeki erişimini ve etki alanını ortaya çıkarır.