Root за минуту: 9-летняя дыра в AppArmor оставляет 12 млн Linux-систем без защиты

Исследователи Qualys Threat Research Unit обнаружили девять уязвимостей в модуле безопасности AppArmor, которые существовали с 2017 года (с версии ядра v4.11) и затрагивают более 12,6 млн систем по всему миру. Проблемы классифицируются как «confused deputy» — недоверенный локальный пользователь может манипулировать профилями безопасности через псевдо-файлы /sys/kernel/security/apparmor/.load, .replace и .remove, обходя ограничения пользовательских пространств имен и выполняя произвольный код в ядре.

AppArmor включен по умолчанию в Ubuntu, Debian, SUSE и их производных, а также широко используется в контейнерных средах (Kubernetes) и edge-устройствах. Это делает уязвимости критическими для всей инфраструктуры, поскольку любой локальный доступ (например, через скомпрометированную учетную запись или веб-шелл) становится вектором для полной компрометации хоста.

Технически атака строится на загрузке или замене профилей безопасности без прав root. Злоумышленник может заблокировать доступ к критическим сервисам (например, sshd), загрузив «deny-all» профиль, вызвать отказ в обслуживании (kernel panic) через рекурсивное удаление глубоко вложенных подпрофилей, что приводит к переполнению стека ядра на архитектуре x86-64, а также повысить привилегии до root, манипулируя переменными окружения при работе с sudo и Postfix (user-space LPE) или эксплуатируя use-after-free в функции aa_loaddata для перезаписи /etc/passwd (kernel-space LPE).

Особую опасность представляет возможность обхода пользовательских пространств имен: загрузка профиля «userns» для /usr/bin/time позволяет непривилегированному пользователю создавать полностью привилегированные пространства имен, отключая штатные ограничения Ubuntu.

Qualys разработала Proof of Concept, демонстрирующий полную цепочку эксплуатации, но публичный релиз эксплоитов отложен до установки патчей. CVE-идентификаторы пока не присвоены (они появятся через 1–2 недели после выхода стабильных обновлений ядра), однако это не снижает критичности ситуации.

Всем администраторам рекомендуется немедленно установить обновления ядра от вендоров дистрибутивов, а также мониторить изменения в /sys/kernel/security/apparmor/ на предмет несанкционированной модификации профилей. Qualys уже выпустила QID 386714 для сканирования уязвимости.