Dirty COW, Linux çekirdeğinin bellek yönetiminin kalbindeki bir yarış koşulu (race condition) zafiyetidir ve CVE-2016-5195 koduyla kayıtlıdır. Adı, sömürdüğü mekanizmadan gelir: Copy-On-Write, yani yazma sırasında kopyala. 2016’da açıklandığında dokuz yıldır çekirdek kodunda bulunması ve neredeyse her Linux sürümünü etkilemesi, onu son yılların en geniş kapsamlı yerel yetki yükseltme açıklarından biri yaptı.

Dirty COW, çekirdeğin yazma-sırasında-kopyala mantığındaki bir zamanlama açığını kullanarak, sıradan bir kullanıcının değiştiremeyeceği sistem dosyalarına yazmasını sağlayan bir yarış koşulu zafiyetidir.

Yazma-Sırasında-Kopyala Nedir?

Linux, bellekten tasarruf için aynı verinin birden çok süreç tarafından paylaşılmasına izin verir; bir süreç bu paylaşılan veriye yazmak isterse, çekirdek önce ona ait özel bir kopya oluşturur. Buna yazma sırasında kopyala denir. Dirty COW’da sorun, salt okunur bir dosyanın belleğe eşlenmiş halinde bu kopyalama ile eşleme arasındaki minik zaman aralığında ortaya çıkar. Saldırgan, iki iş parçacığını hassas biçimde zamanlayarak çekirdeği kandırır: yazma işlemi, kişisel kopya yerine asıl salt okunur sayfaya uygulanır.

Saldırı Nasıl Gerçekleşir?

Klasik istismarda saldırgan, sistemde herkesin okuyabildiği ancak yalnızca root’un yazabildiği bir dosyayı, örneğin /etc/passwd dosyasını ya da bir root SUID programını hedef alır. Yarış koşulunu binlerce kez tekrarlayarak, bu dosyaya kendi içeriğini yazmayı başarır; örneğin passwd dosyasına yeni bir root hesabı ekler ya da bir ikiliyi kendi kabuğuyla değiştirir. İşlem tamamlandığında, düşük yetkili kullanıcı tam bir yetki yükseltme gerçekleştirmiş olur. Zafiyetin güvenilir biçimde çalışması, onu gerçek saldırılarda tercih edilen bir araç haline getirdi.

Tespit ve Önleme

Tek kalıcı çözüm, yamalı bir çekirdeğe geçmektir; dağıtımlar 2016’nın sonunda düzeltmeleri yayımladı, dolayısıyla düzenli bir yama yönetimi süreci bu açığı çoktan kapatmış olmalıdır. Bir istismarın izini sürmek için ise sistemdeki denetim kayıtları önemlidir; iyi ayarlanmış Linux denetim günlükleri, hassas dosyalara yapılan beklenmedik yazma girişimlerini ve ardından oluşan ayrıcalıklı süreçleri yakalayabilir.

Dirty COW aynı zamanda konteynerli ortamlar için özel bir tehdit taşıdı; çünkü konteynerler ana sistemle aynı çekirdeği paylaşır. Bu nedenle konteyner içinden tetiklenen bir Dirty COW istismarı, bir konteynerden kaçış senaryosuna dönüşerek ana sistemin ele geçirilmesine yol açabilirdi.

Kurumsal Etki

Dirty COW bugün büyük ölçüde yamalanmış olsa da, güncellenmemiş eski sistemlerde, gömülü cihazlarda ve terk edilmiş sunucularda hâlâ canlı bir risktir. Böyle bir sömürünün belirtilerini fark ettiğinizde saldırının kapsamını hızlıca değerlendirmek ve etkilenen sistemleri kontrol altına almak için deneyimli bir olay inceleme ve olay müdahalesi desteği, olayın büyümesini engellemenin en pratik yoludur.