Qualys Tehdit Araştırma Birimi’ne (TRU) göre, Apport ve Systemd-CoreMump, Ubuntu’daki çekirdek döküm işleyicileri, Red Hat Enterprise Linux ve Fedora’da iki bilgi açıklama kusuru tanımlanmıştır.
CVE-2025-5054 ve CVE-2025-4598 olarak izlenen her iki güvenlik açığı, yerel bir saldırganın hassas bilgilere erişim elde etmesini sağlayabilecek yarış koşulu hatalarıdır. Apport ve Systemd-Cororep gibi araçlar, Linux sistemlerindeki çarpışma raporlama ve çekirdek dökümleri işlemek için tasarlanmıştır.
Qualys Tru ürün müdürü Saeed Abbasi, “Bu yarış koşulları yerel bir saldırganın bir SUID programından yararlanmasına ve ortaya çıkan çekirdek dökümüne okuma erişimi kazanmasına izin veriyor.” Dedi.
İki kusurun kısa bir açıklaması aşağıdadır –
- CVE-2025-5054 (CVSS Puanı: 4.7) – Yerel bir saldırganın ad alanlarından yararlanarak PID tekrar kullanımı yoluyla hassas bilgileri sızdırmasına izin veren 2.32.0’a kadar olan ve dahil olmak üzere kanonik apport paketinde bir yarış koşulu
- CVE-2025-4598 (CVSS Puanı: 4.7)-Sistem-corortump’ta, bir saldırganın bir Suid sürecini, orijinalin ayrıcalıklı sürecine erişmek için suid olmayan bir ikili ile çökmesine ve değiştirmeye zorlamasını sağlayan bir yarış koşulu, saldırganın orijinal işlem tarafından yüklenen hassas verileri okumasına izin verir,
Ayarlı kullanıcı kimliğinden kısa olan Suid, bir kullanıcının kendi izinlerinden ziyade sahibinin ayrıcalıklarıyla bir program yürütmesine izin veren özel bir dosya iznidir.
Canonical’dan Octavio Galland, “Uygulama çöküşlerini analiz ederken, tutarlılık kontrolleri yapmadan önce çökme işleminin bir konteyner içinde çalışıp çalışmadığını tespit etmeye çalışır.” Dedi.
“Bu, yerel bir saldırganın ayrıcalıklı bir süreçte bir kazayı teşvik etmeyi başarması ve onu bir montaj ve PID ad alanında bulunan aynı işlem kimliğiyle hızlı bir şekilde değiştirmesi durumunda, Apport’un (orijinal, ayrıcalıklı sürece ait hassas bilgileri içerebilecek olan çekirdek dökümü (orijinal, ayrıcalıklı sürece) iletmeye çalışacağı anlamına gelir.
Red Hat, CVE-2025-4598’in, güvenlik açığı için bir istismar çekmedeki yüksek karmaşıklık nedeniyle, saldırganın ilk yarış koşulunu ve müstehcen olmayan bir yerel hesaba sahip olması gerektiğini belirterek şiddette orta derecede derecelendirildiğini söyledi.
Etkileme olarak Red Hat, kullanıcıların bir sistemin Suid ikili dosyaları için bir çekirdek döküm oluşturma yeteneğini devre dışı bırakmak için kök kullanıcı olarak “echo 0>/proc/sy/fs/fs/fs/suid_dumpable” komutunu çalıştırabileceğini söyledi.
“/Proc/sys/fs/suid_dumpable” parametresi, SUID programlarının çökmede çekirdek dökümler üretip üretemeyeceğini kontrol eder. Sıfır olarak ayarlayarak, tüm Suid programları için çekirdek dökümleri devre dışı bırakır ve bir kaza durumunda analiz edilmelerini önler.
Red Hat, “Bu, SystemD paketini güncellemek mümkün olmasa da bu güvenlik açığını azaltırken, bu ikili dosyalar için kazaları analiz etme yeteneğini devre dışı bırakıyor.” Dedi.
Benzer tavsiyeler Amazon Linux, Debian ve Gentoo tarafından yayınlandı. Systemd-Cororeump paketi manuel olarak yüklenmedikçe herhangi bir çekirdek döküm işleyicisi içermediğinden, Debian sistemlerinin CVE-2025-4598’e duyarlı olmadığını belirtmek gerekir. CVE-2025-4598 Ubuntu sürümlerini etkilemez.
Qualys, her iki güvenlik açığı için konsept kanıtı (POC) kodu geliştirmiştir, yerel bir saldırganın /etc /shadow dosyasından şifre karmalarını elde etmek için kullanılan çökmüş bir UNIX_CHKPWD işleminden nasıl yararlanabileceğini gösterir.
Canonical, kendi uyarısında, CVE-2025-5054’ün etkisinin çağrılan SUID yürütülebilir ürünlerin bellek alanının gizliliği ile sınırlı olduğunu ve POC istismarının Hashed kullanıcı şifrelerinin sınırlı gerçek dünya etkisi olduğunu sızdırabileceğini söyledi.
Abbasi, “Apport ve Systemd-Cormeump’taki güvenlik açıklarının kullanılması, saldırganlar şifreler, şifreleme anahtarları veya çekirdek dökümlerden müşteri bilgileri gibi hassas verileri elde edebileceğinden, gizliliği yüksek risk altındaki ciddi bir şekilde tehlikeye atabilir.” Dedi.
“The fallout includes operational downtime, reputational damage, and potential non-compliance with regulations. To mitigate these multifaceted risks effectively, enterprises should adopt proactive security measures by prioritizing patches and mitigations, enforcing robust monitoring, and tightening access controls.”