### PinTheft: RDS Zerocopy Double-Free Die von dem Sicherheitsteam **V12** als **PinTheft** bezeichnete Schwachstelle (eine **CVE** ID steht noch aus) liegt in der **RDS** (Reliable Datagram Sockets) Implementierung des Linux-Kernels. Der Fehler, ein Zerocopy Double-Free, wurde Anfang dieses Monats mit einem Patch behoben. "PinTheft ist ein Linux Local Privilege Escalation Exploit für einen RDS Zerocopy Double-Free, der durch io_uring fixed buffers in einen Page-Cache-Overwrite umgewandelt werden kann", erklärte **V12** in seinem Advisory. Die Schwachstelle rührt von der Funktion `rds_message_zcopy_from_user()` her, die User-Pages einzeln pinnt. Tritt ein nachfolgender Page Fault auf, gibt der Fehlerpfad bereits gepinnte Seiten unsachgemäß frei. Später, während der RDS-Nachrichtenbereinigung, werden diese Seiten erneut freigegeben, was zu der Double-Free-Bedingung führt. ### PoC Exploit und Anforderungen **V12** hat einen PoC Exploit veröffentlicht, der den Double-Free ausnutzt, um `FOLL_PIN`-Referenzen zu stehlen. Dies ermöglicht es **io_uring** letztendlich, einen gestohlenen Seitenzeiger zu halten und eine Root-Shell zu gewähren. Die erfolgreiche Ausnutzung erfordert jedoch spezifische Bedingungen: * Das **RDS**-Modul muss geladen sein. * Die **io_uring** Linux I/O API muss aktiviert sein. * Ein lesbares SUID-Root-Binary muss vorhanden sein. * Die x86_64-Architektur ist für den enthaltenen payload erforderlich. Diese Anforderungen schränken die Angriffsfläche erheblich ein. **V12** merkt an, dass das **RDS**-Modul bei gängigen Distributionen standardmäßig nur auf **Arch Linux** aktiviert ist. ### Abhilfemaßnahmen Benutzer betroffener Distributionen sollten umgehend die neuesten Kernel-Updates einspielen. Als sofortige Abhilfemaßnahme können die folgenden Befehle verwendet werden, um eine Ausnutzung zu verhindern: rmmod rds_tcp rds printf 'install rds /bin/false\ninstall rds_tcp /bin/false\n' > /etc/modprobe.d/pintheft.conf ### Aktuelle LPE-Schwachstellen Diese Veröffentlichung folgt auf eine Reihe kürzlich aufgedeckter Linux Local Privilege Escalation (LPE) Schwachstellen. Forscher haben auch PoC Exploits für die **DirtyDecrypt** und **DirtyCBC** Schwachstellen veröffentlicht. Diese gehören zur gleichen Schwachstellenklasse wie andere Root-Escalation-Fehler, darunter **Dirty Frag**, **Fragnesia** und **Copy Fail**. Es wurde auch berichtet, dass Bedrohungsakteure begonnen haben, die **Copy Fail** Schwachstelle aktiv in freier Wildbahn auszunutzen. Die **Cybersecurity and Infrastructure Security Agency (CISA)** hat **Copy Fail** zu ihrer Liste bekannter ausgenutzter Schwachstellen hinzugefügt und Regierungsbehörden angewiesen, ihre Linux-Systeme zu patchen. Letzten Monat gaben Linux-Distributionen Patches für **Pack2TheRoot** heraus, eine Root-Privilege Escalation Schwachstelle im **PackageKit** Daemon, die über ein Jahrzehnt unentdeckt blieb.  ## The Validation Gap: Automated Pentesting Answers One Question. You Need Six. Automated pentesting tools deliver real value, but they were built to answer one question: can an attacker move through the network? They were not built to test whether your controls block threats, your detection rules fire, or your cloud configs hold. This guide covers the 6 surfaces you actually need to validate. [Download Now](https://hubs.li/Q048zztN0)