Kritik Acil: Yeni DirtyClone Açığı ile Kullanıcılar Root Erişimi Sağlıyor

Linux Kernel’de Kritik Bir Güvenlik Açığı: DirtyClone

Linux kernelinde tespit edilen yeni bir güvenlik açığı, yerel kullanıcıların sistemdeki yetkilerini artırmasına olanak tanıyor. Bu açık, özellikle çok kiracılı sunucular, CI koşucuları ve Kubernetes kümeleri gibi ortamlarda ciddi bir tehdit oluşturuyor.

Açığın Detayları

DirtyClone olarak bilinen bu açık, CVE-2026-43503 (CVSS: 8.8) olarak izlenmektedir. Açık, yerel bir kullanıcının dosya destekli belleği bozmalarına ve böylece root erişimi kazanmalarına yol açmaktadır. Açığın, 21 Mayıs’ta ana hatlara yamanmış olduğu ve eğer kullanıcının işletim sistemi bu güncellemeyi içermiyorsa derhal güncellenmesi gerektiği belirtilmektedir.

Saldırı Nasıl Çalışıyor?

Açığın çalışma mekanizması şu şekilde işlemektedir:

1. Kernel, bir ağ paketini kopyalarken iki yardımcı fonksiyonu kullanarak bir güvenlik bayrağını düşürmektedir; bu bayrak, paket belleğinin diskteki bir dosya ile paylaşıldığını belirtir.
2. Saldırgan, /usr/bin/su gibi ayrıcalıklı bir ikiliyi belleğe yükler, bu bellek sayfalarını bir ağ paketinde bağlar ve kernel’in bunu kopyalamasını zorlar.
3. Kopyalanan paket, saldırganın kontrol ettiği bir IPsec tünelinden geçer ve şifre çözme adımı, ikilinin giriş kontrolünü saldırgan tarafından seçilen baytlarla değiştirir.
4. Böylece, kopyalanan ikili, bir sonraki çalıştırıldığında root erişimi verir.

Dikkat çekici bir nokta, diskteki dosyanın asla değişmemesidir. Bu değişiklik yalnızca kernel’in bellekteki kopyasında gerçekleşir ve dosya bütünlüğü araçları bu durumu fark edemez.

Etkilenen Sistemler

Açık, şu sistemlerde etkili olabilmektedir:

• Multi-tenant sunucular
• CI koşucuları
• Container hostları
• Kubernetes kümeleri

Özellikle Debian, Ubuntu ve Fedora sistemlerinde, varsayılan namespace yapılandırmaları ile saldırının uygulanabildiği doğrulanmıştır.

Çözüm ve Korunma

Kullanıcıların alması gereken önlemler şöyledir:

1. Küresel yamanın uygulanması: Dağıtımınızın kernel güncellemesini yükleyin. Düzeltme, v7.1-rc5 sürümünde yukarıya aktarılmıştır.

2. Güvenlik önlemleri: Eğer hemen güncellemeyi yapamıyorsanız, aşağıdaki geçici önlemleri alabilirsiniz:

   • Unprivileged kullanıcı namespace’lerini kısıtlayın: Debian ve Ubuntu’da kernel.unprivileged_userns_clone=0 olarak ayarlayın.
   • IPsec ve AFS’yi bozmasına rağmen, esp4, esp6 ve rxrpc kernel modüllerini kara listeye alın.

Bu geçici çözümler yalnızca risk yüzeyini azaltır ve kalıcı bir çözüm sunmaz.

Sonuç

Kullanıcıların, sistemlerini güncelleyerek bu açığı kapatması kritik bir öneme sahiptir. Mevcut güvenlik açıkları, her an yeni CVE’lere yol açabilir. Dolayısıyla, açıkların her yönünü gözden geçirmek ve güvenlik önlemlerini artırmak kaçınılmazdır. Güncellemelerinizi derhal yapmayı unutmayın!