گزارش اثبات آسیب‌پذیری CVE-2026-7270

اطلاعات آسیب‌پذیری

عنوان:  افزایش سطح دسترسی محلی  در هسته FreeBSD از طریق سرریز بافر در پردازش آرگومان‌های execve

شناسه: CVE-2026-7270

وضعیت مشاوره: Advisory / Patch Available

امتیاز:  CVSS: 7.8 (High)

محصول: FreeBSD Kernel (کرنل FreeBSD)

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر:

• FreeBSD 13.5 قبل از اعمال وصله امنیتی
• FreeBSD 14.3 قبل از اعمال وصله امنیتی
• برخی نسخه ‌های مشتق ‌شده و محصولات مبتنی بر FreeBSD که هنوز به ‌روزرسانی نشده ‌اند

محیط‌های درگیر

• کلیه سیستم ‌های FreeBSD که سرویس sshd در آن‌ ها فعال است
• سرورهای FreeBSD در محیط ‌های shared یا multi-tenant (مانند ارائه ‌دهندگان هاست، ابر، و محیط ‌های Jails )
• ایستگاه ‌های کاری و سرورهای FreeBSD مورد استفاده در محیط ‌های سازمانی
• فایروال ‌ها، روترها و تجهیزات شبکه مبتنی بر FreeBSD (مانند OPNsense و pfSense )
• هر سیستم FreeBSD که کاربران محلی غیرقابل اعتماد بر روی آن حساب کاربری دارند
• هر محیطی که execve(2) توسط فرآیندهای root (مانند sshd-session) فراخوانی می ‌شود

کامپوننت‌های آسیب‌پذیر

• تابع exec_args_adjust_args() در فایل sys/kern/kern_exec.c
• زیرسیستم اجرای برنامه ‌ها ( execve(2) subsystem) در کرنل FreeBSD
• pool exec_mapکه برای نگهداری آرگومان ‌های exec استفاده می ‌شود
• مکانیزم پردازش اسکریپت ‌های shebang در هسته

ریشه مشکل (Root Cause Analysis)

ریشه اصلی این آسیب ‌پذیری به یک خطای تقدم عملگرها ( Operator Precedence Bug ) در تابع exec_args_adjust_args() در فایل sys/kern/kern_exec.c بازمی‌گردد که از سال 2013 در کد منبع FreeBSD حضور داشته است. این تابع هنگام اجرای یک اسکریپت با shebang (مانند #!/bin/sh )، آرگومان ‌های خط فرمان را در بافر حافظه exec_map جابه‌جا می‌کند.

نقص در فراخوانی memmove رخ می‌دهد:

Memmove(args->begin_argv + extend, args->begin_argv + consume,

    Args->endp – args->begin_argv + consume);

عبارت + consume در آرگومان سوم (اندازه کپی) باید  – consume باشد. این اشتباه علامت باعث می‌شود که memmove به جای کپی endp – (begin_argv – consume) بایت، مقدار 2 * consume بایت اضافی کپی کند و از محدوده مجاز بافر خارج شود ( Out-of-Bounds memmove )

با تنظیم argv[0] به اندازه 265,185 بایت در یک اجرای shebang، این تابع 2,024 بایت فراتر از ورودی 528,384 بایتی exec_map می‌نویسد و ورودی مجاور ( K+1 ) را در حافظه کرنل بازنویسی می‌کند. بدون هیچ‌گونه خطا، سیگنال یا page fault.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

تابع exec_args_adjust_args() در کرنل FreeBSD هنگام پردازش آرگومان‌ های اسکریپت ‌های shebang، به دلیل یک خطای تقدم عملگرها، مقدار بیشتری از داده را نسبت به اندازه واقعی بافر کپی می‌کند. این سرریز حافظه به مهاجم اجازه می‌دهد داده ‌های تحت کنترل خود را در ورودی مجاور exec_map بنویسد. از آنجا که این ورودی‌ها برای نگهداری آرگومان ‌ها و متغیرهای محیطی فرآیندهای در حال اجرا استفاده می ‌شوند، مهاجم می ‌تواند محتوای فرآیندهای دیگر (به ویژه sshd-session که با دسترسی root اجرا می ‌شود) را آلوده کند.

نحوه سوءاستفاده مهاجم:

• مهاجم ابتدا به یک دسترسی محلی معمولی (Local Shell) روی سیستم هدف مبتنی بر FreeBSD دست پیدا می‌کند.
• مهاجم یک Payload مبتنی بر LD_PRELOAD شامل کتابخانه مخرب (برای مثال so) آماده می‌کند که در تابع constructor خود قابلیت ایجاد شل با سطح دسترسی root را دارد.
• برای آماده‌سازی شرایط حمله، مهاجم با اجرای فرآیندهایی دارای متغیرهای محیطی بسیار بزرگ، استخر حافظه exec_map را از قبل مقداردهی (Preseed) کرده و رشته LD_PRELOAD=/tmp/evil.so را در آفست مشخصی از ورودی‌ها قرار می‌دهد.
• مهاجم یک اسکریپت مبتنی بر shebang ایجاد می‌کند که مقدار argv[0] آن دارای طول دقیق ۲۶۵٬۱۸۵ بایت است.
• اکسپلویت روی سیستم کامپایل و اجرا می‌شود (برای مثال: exec1_lpe21 15000 0).
• مهاجم به‌صورت هم‌زمان و مداوم اتصالات TCP به localhost:22 یا سرویس sshd برقرار می‌کند تا فرایند fork + execv(“/usr/libexec/sshd-session”) به‌طور مکرر اجرا شود؛ هر اجرا نیز یک ورودی از استخر exec_map را مصرف می‌کند.
• اکسپلویت با ایجاد یک Race Condition در بازه‌ای حدود ۲۰۰ میکروثانیه (بین توابع exec_copyin_args و exec_copyout_strings) باعث وقوع سرریز بافر خارج از محدوده (Out-of-Bounds Buffer Overflow) می‌شود.
• در نتیجه این سرریز، مقادیر fname، argv و envp فرایند sshd-session با داده‌های از پیش تزریق‌شده ــ شامل LD_PRELOAD=/tmp/evil.so ــ بازنویسی می‌شوند.
• از آنجا که فرایند sshd-session با سطح دسترسی root اجرا می‌شود و تغییری در SUID/SGID رخ نمی‌دهد، تابع issetugid() مقدار ۰ بازمی‌گرداند و runtime linker متغیر LD_PRELOAD را می‌پذیرد.
• در ادامه، کتابخانه مخرب /tmp/evil.so با دسترسی root بارگذاری شده و تابع constructor آن اجرا می‌شود.
• کتابخانه مخرب یک فایل SUID root (برای مثال /tmp/rootsh) ایجاد می‌کند.
• مهاجم با اجرای دستور /tmp/rootsh -p به یک شل با سطح دسترسی کامل root (euid=0) دست پیدا می‌کند.

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب ‌پذیری یک ابزار افزایش سطح دسترسی (Privilege Escalation) کامل، قابل اتکا و بدون نیاز به suid binary یا ماژول کرنل در زنجیره حمله محلی محسوب می ‌شود. با توجه به نمره CVSS 7.8، ماهیت محلی و نیاز به حداقل دسترسی (وجود یک حساب کاربری عادی)، مهاجم ابتدا باید از طریق روش دیگری (مانند فیشینگ، بدافزار، یا یک آسیب ‌پذیری remote code execution در یک سرویس) به یک دسترسی اولیه روی سیستم هدف دست یابد. اما پس از آن، بدون نیاز به تعامل بیشتر، به بالاترین سطح دسترسی ( root ) برسد.

پیش‌نیازهای بهره‌برداری (Prerequisites)

• دسترسی محلی به سیستم با کاربر معمولی
• استفاده از نسخه آسیب‌پذیر FreeBSD
• فعال بودن سرویس sshd
• عدم اعمال پچ امنیتی روی سیستم هدف
• عدم وجود محدودیت‌های خاص مانند securelevel بالا که بتواند بارگذاری کتابخانه ‌های مخرب را مسدود کند
• امکان اجرای برنامه توسط کاربر غیرمدیر

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

• تابع exec_args_adjust_args() باید هنگام جابه ‌جایی آرگومان ‌ها در exec_map، اندازه صحیح را محاسبه کند. endp – (begin_argv + consume) به جای endp – begin_argv + consume
• کرنل باید قبل از هر عمل نوشتن در بافرهای exec، بررسی محدوده (bounds checking) انجام دهد تا از سرریز جلوگیری شود
• ورودی ‌های exec_map باید هنگام بازگشت به memory pool، صفر شوند تا داده‌ های فرآیندهای قبلی باقی نماند
• پردازه‌هایی که با دسترسی root اجرا می‌شوند (حتی بدون تغییر suid) باید توسط runtime linker به عنوان issetugid()=1 در نظر گرفته شوند تا از بارگذاری LD_PRELOAD جلوگیری شود
• کرنل باید در برابر سرریزهای حافظه در مسیرهای بحرانی مانند execve مکانیزم ‌های محافظتی مانند stack canaries یا KASLR داشته باشد
• اصل Fail Secure، در صورت بروز خطا یا شرایط غیرمنتظره در محاسبات، دسترسی به عملیات باید رد شود

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

• نصب وصله امنیتی منتشرشده توسط FreeBSD
• به‌روزرسانی به نسخه‌های پشتیبانی‌شده و Patch Level جدید

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

• انجام اسکن تمام سیستم ‌های FreeBSD سازمان برای شناسایی نسخه ‌های آسیب ‌پذیر و اعمال وصله به صورت متمرکز
• پیاده‌ سازی و تقویت راهکارهای EDR (Endpoint Detection and Response) بر روی سرورها برای شناسایی رفتارهای مشکوک مرتبط با بهره ‌برداری از کرنل
• بازبینی و محدود کردن دسترسی‌های sudo و role-based access control (RBAC) برای کاهش تعداد کاربرانی که دسترسی محلی دارند
• استفاده از FreeBSD securelevel بالاتر ( securelevel >= 1 ) برای جلوگیری از تغییرات غیرمجاز در فایل‌های سیستمی
• پایش رویدادهای execve و فعالیت ‌های غیرعادی کاربران
• محدودسازی دسترسی SSH به کاربران مجاز
• کاهش زمان LoginGraceTime در sshd برای محدود کردن race condition

اقدامات بلندمدت برای کاهش ریسک:

• استقرار راهکارهای خودکار به‌روزرسانی امنیتی (Patch Management) برای اعمال سریع وصله‌ها
• استقرار راهکارهای EDR (Endpoint Detection and Response) برای شناسایی رفتارهای مشکوک
• کاهش سطح حمله با غیرفعال کردن سرویس ‌هایی که به آن‌ها نیاز نیست
• آموزش تیم ‌های عملیاتی در خصوص خطرات آسیب ‌پذیری ‌های کرنل و نحوه شناسایی و پاسخ به آن‌ها
• استقرار سیستم‌های تشخیص نفوذ مبتنی بر هاست (HIDS) مانند Osquery یا Wazuh
• استفاده از ابزارهای تحلیل آسیب‌پذیری و اسکنرهای امنیتی به صورت دوره‌ای
• فعال ‌سازی و تقویت لاگ ‌برداری از رویدادهای کرنل (با استفاده از auditd) و ارسال آن‌ ها به سیستم SIEM
• پیاده ‌سازی فرآیندهای منظم تست نفوذ (Penetration Testing) و ارزیابی امنیتی برای کشف زودهنگام آسیب ‌پذیری ‌های مشابه در زیرساخت

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

• برقراری تعداد زیادی اتصال TCP به localhost:22 در بازه زمانی کوتاه
• اجرای فرآیندهایی با اسکریپت ‌های shebang که دارای argv[0] با حجم غیرعادی (بیش از 265 کیلوبایت) هستند
• ظاهر شدن فایل ‌های مشکوک مانند /tmp/evil.so، /tmp/rootsh و /tmp/GOT_ROOT
• وجود فرآیندهای sshd-session با متغیر محیطی LD_PRELOAD
• ظاهر شدن باینری ‌های suid در مسیرهای موقت مانند /tmp و /var/tmp
• پین شدن فرآیندهای مشکوک به CPU خاص با استفاده از cpuset_setaffinity

منابع پیشنهادی برای مانیتورینگ و پایش:

• لاگ‌ های سیستم (/var/log/messages و /var/log/security) برای مشاهده اتصالات SSH مشکوک از localhost
• خروجی فرمان netstat -an برای نظارت بر اتصالات TCP به پورت 22 محلی
• سیستم ‌های SIEM برای جمع ‌آوری و تحلیل مرکزی لاگ‌ ها
• ابزارهای EDR برای شناسایی رفتارهای غیرعادی در فرآیندهای setuid و فراخوانی ‌های سیستمی
• ابزار sysdig یا falco برای پایش فراخوانی ‌های سیستمی حساس مانند execve با آرگومان‌ های غیرعادی
• سیستم ‌های نظارت بر یکپارچگی فایل (FIM) مانند AIDE یا Tripwire برای تشخیص فایل ‌های suid جدید در مسیرهای موقت

واکنش به حادثه (Incident Response)

• ایزوله ‌سازی فوری، سیستم آسیب ‌دیده را از شبکه جدا کنید تا از حرکت جانبی مهاجم جلوگیری شود
• جمع ‌آوری و حفظ لاگ ‌های ممیزی (audit.log) و لاگ ‌های سیستم (/var/log/messages, /var/log/auth.log)، تاریخچه دستورات کاربر (~/.sh_history, /var/log/history)، پردازه‌های در حال اجرا (ps auxww, top)، اتصالات شبکه فعال (sockstat -4, netstat -an)، فایل ‌های مشکوک در /tmp/ (مخصوصاً rootsh، evil.so، و اسکریپت‌های shebang) و دامپ حافظه کرنل برای تحلیل فارنزیک (Forensics)
• بررسی وجود فایل‌های شاخص مانند /tmp/evil.so ، /tmp/rootsh و /tmp/GOT_ROOT
• بازنشانی تمام رمزهای عبور کاربران، توکن‌های SSH ، و هر گونه اعتبار دسترسی به سیستم
• نصب فوری وصله امنیتی
• بررسی یکپارچگی فایل‌ های سیستمی و شناسایی باینری ‌های suid غیرمجاز در مسیرهای موقت
• اسکن کامل سایر سیستم ‌های شبکه برای شناسایی علائم مشابه یا دسترسی مهاجم به آن‌ ها
• مستندسازی کامل حادثه (زمان وقوع، نشانه‌ها، اقدامات انجام‌شده، درس‌آموخته‌ها) و گزارش به مدیریت ارشد و تیم واکنش سریع (CSIRT)

جریان حمله (Attack Flow)

در نمودار زیر (شکل ۱)، مهاجم با دسترسی محلی معمولی، یک شرایط رقابتی در مسیر اجرای execve() ایجاد می‌کند. سرریز بافر ناشی از خطای تقدم عملگر باعث بازنویسی داده ‌های مجاور در ساختار exec_map می‌شود. سپس مهاجم متغیر محیطی LD_PRELOAD را به فرآیند هدف (مانند sshd-session) تزریق می‌کند. هنگام اجرای فرآیند با دسترسی root، کتابخانه مخرب بارگذاری شده و کد مهاجم با سطح دسترسی root اجرا می ‌شود. در نهایت مهاجم یک شل root دریافت کرده و کنترل کامل سیستم را در اختیار می ‌گیرد.

شکل 1: جریان اجرای آسیب پذیری

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است

• این آزمایشگاه شامل نسخه آسیب‌پذیر توزیع سیستم عامل FreeBSD است
• پس از حدود (تقریبی)  6  ثانیه (در دور  5,030  روی یک  VM  با  4  CPU )، فایل  /tmp/rootsh  ایجاد می شود
• با اجرای /tmp/rootsh -p  یک پوسته  root  باز می شود که نشان ‌دهنده افزایش سطح دسترسی موفق است
• اجرای PoC در محیط آزمایشگاهی منجر به گرفتن دسترسی root می‌شود در سامانه آسیب‌پذیر شد
• این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود

شکل 2: اجرای POC

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://nvd.nist.gov/vuln/detail/CVE-2026-7270

https://www.cve.org/CVERecord?id=CVE-2026-7270

https://github.com/babyshen/freebsd-CVE-2026-7270

https://cwe.mitre.org/data/definitions/783.html

https://www.freebsd.org/security/advisories/FreeBSD-SA-26:13.exec.asc

/* sys/kern/kern_exec.c */
memmove(args->begin_argv + extend, args->begin_argv + consume,
    args->endp - args->begin_argv + consume);   /* BUG: + should be - */

-    args->endp - args->begin_argv + consume);
+    args->endp - (args->begin_argv + consume));

# Check for vulnerable FreeBSD version
freebsd-version -k

# Check if system has been patched
freebsd-version -k | grep -E "-(p7|p12|p3|p13)"  # Check for fixed patch levels

# Monitor for suspicious suid binaries in /tmp
find /tmp -type f -perm -4000 -ls

# Audit LD_PRELOAD usage in running processes
ps aux | grep -E "LD_PRELOAD"