Looney Tunables, GNU C kütüphanesinin (glibc) dinamik yükleyicisi olan ld.so içinde bulunan ve GLIBC_TUNABLES ortam değişkeninin hatalı işlenmesinden kaynaklanan bir arabellek taşması zafiyetidir. Qualys araştırma ekibi tarafından Ekim 2023’te CVE-2023-4911 koduyla duyurulan açık, sıradan bir yerel kullanıcının sistemde root ayrıcalıklarına ulaşmasına imkan verir.

Looney Tunables, glibc dinamik yükleyicisindeki bir bellek hatası aracılığıyla yerel bir hesabı root’a taşıyan bir yerel yetki yükseltme zafiyetidir.

Açığın Kaynağı Nerede?

glibc’nin tunables mekanizması, program çalışırken bellek ayırıcı gibi bileşenlerin davranışını GLIBC_TUNABLES üzerinden ayarlamaya yarar. ld.so bu değişkeni ayrıştırırken uzunluk denetimini yanlış yaptığı için, özenle hazırlanmış bir değer yığın (stack) üzerinde taşmaya yol açar. Bu değişken setuid bitli programlar çalıştırılırken de okunduğundan, saldırgan kendi kontrol ettiği veriyi ayrıcalıklı bir sürecin bellek alanına taşırabilir.

Saldırı Nasıl Gerçekleşir?

Saldırganın sisteme önceden düşük yetkili bir kabuk erişimi olması yeterlidir; bu genellikle bir web uygulaması açığı veya çalınmış bir SSH anahtarı sonrası elde edilir. Zararlı GLIBC_TUNABLES değeri hazırlanır ve sudo, su ya da mount gibi bir setuid-root ikili dosyası çağrılır. Taşma, yükleyicinin akışını ele geçirerek root haklarıyla komut çalıştırmayı mümkün kılar. Bu, klasik bir yerel yetki yükseltme senaryosudur ve exploit kodu açıklandıktan kısa süre sonra kamuya açık hale gelmiştir.

Neden Geniş Bir Yüzeyi Etkiledi?

glibc, Linux dünyasının neredeyse tamamında temel kütüphane olduğu için açık; Debian, Ubuntu, Fedora ve benzeri dağıtımların o dönemki varsayılan kurulumlarını doğrudan ilgilendirdi. Aynı çekirdek kütüphaneyi paylaşan konteyner imajları da savunmasız kaldı; bir konteyner içinde açığı sömüren saldırgan, zayıf yapılandırılmış ortamlarda bunu bir konteynerden kaçış adımıyla birleştirerek ana makineye ulaşmayı deneyebilir.

Tespit ve Kapatma

Kesin çözüm, dağıtımın yayımladığı yamalı glibc sürümüne geçmektir; bu nedenle disiplinli bir yama yönetimi süreci en etkili savunmadır. Yama uygulanana kadar geçen sürede sömürü izlerini yakalamak için Linux denetim günlükleri devreye alınabilir; execve çağrılarında olağandışı uzun GLIBC_TUNABLES değerleri ya da setuid ikililerinin beklenmedik biçimde çalıştırılması güçlü birer göstergedir.

• auditd kayıtlarında anormal derecede uzun GLIBC_TUNABLES ortam değeri taşıyan süreçler
• sudo, su, mount gibi setuid ikililerin beklenmeyen kullanıcılar tarafından çağrılması
• düşük yetkili bir oturumdan türeyen, root’a ait beklenmedik kabuk süreçleri

Kurumsal Etki

Bir sunucuda root elde etmek, saldırgana kalıcılık kurma, kimlik bilgisi toplama ve yatay hareket için tam serbestlik tanır. Şüpheli bir sömürü belirtisi görüldüğünde sistemin izole edilmesi ve adli incelemeye alınması gerekir; Privia Security’nin olay inceleme ve olay müdahalesi ekibi bu tür vakalarda kök nedeni ortaya çıkarır ve etkilenen varlıkları güvenli hale getirir.