بخش تحلیل تهدیدات Qualys گزارش داد که دو آسیب‌پذیری افشای اطلاعات در ابزارهای apport و systemd-coredump، که هندلرهای Core Dump در توزیع‌های Ubuntu،Red Hat Enterprise Linux (RHEL) و Fedora هستند، شناسایی شده‌اند. این آسیب‌پذیری‌ها با شناسه‌های CVE-2025-5054 و CVE-2025-4598، هر دو از نوع شرایط رقابتی (race condition)، به مهاجم محلی امکان دسترسی به اطلاعات حساس را می‌دهند.
Qualys اعلام کرد که این شرایط رقابتی به مهاجم محلی اجازه می‌دهد از برنامه‌های SUID سوءاستفاده کرده و به Core Dump مربوطه با دسترسی خواندنی دست یابد. ابزارهای apport و systemd-coredump برای مدیریت گزارش‌های خطا و Core Dump در لینوکس طراحی شده‌اند.
جزئیات آسیب‌پذیری‌های لینوکس
- CVE-2025-5054 (امتیاز CVSS: 4.7): یک آسیب‌پذیری از نوع شرایط رقابتی در پکیج apport شرکت Canonical تا نسخه 2.32.0، که به مهاجم محلی امکان می‌دهد با بازیابی PID از طریق namespaceها، اطلاعات حساس را افشا کند.
- CVE-2025-4598 (امتیاز CVSS: 4.7): یک آسیب‌پذیری از نوع شرایط رقابتی در systemd-coredump، که به مهاجم اجازه می‌دهد فرآیند SUID را کرش کرده و آن را با باینری غیر SUID جایگزین کند تا به Core Dump فرآیند سطح بالا دسترسی یافته و اطلاعاتی مانند محتوای فایل /etc/shadow را بخواند.
SUID (Set User ID) سطح دسترسی خاصی است که به کاربر اجازه می‌دهد برنامه را با مجوزهای مالک آن بدون در نظر گرفتن مجوز های خود اجرا کند.
Canonical گزارش داد که در CVE-2025-5054، ابزار apport هنگام بررسی کرش‌ها تلاش می‌کند تشخیص دهد آیا فرآیند قبل از انجام چک‌های سازگاری، در یک container اجرا شده یا خیر. اگر مهاجم محلی بتواند فرآیند سطح بالا را کرش کرده و سریعا آن را با فرآیندی جدید با همان PID در mount و pid namespace جایگزین کند، apport ممکن است Core Dump فرآیند اصلی، حاوی اطلاعات حساس، را به namespace جدید ارسال کند.
Red Hat اعلام کرد که CVE-2025-4598 با شدت متوسط ارزیابی شده، زیرا اکسپلویت نیازمند پیچیدگی بالاست و مهاجم باید در ابتدا از شرایط رقابتی عبور کرده و حساب کاربری محلی بدون مجوز سطح بالا داشته باشد. برای کاهش ریسک، Red Hat پیشنهاد کرد که دستور زیر به‌عنوان کاربر root اجرا شود:
echo 0 > /proc/sys/fs/suid_dumpable
این دستور تولید Core Dump برای برنامه‌های SUID را غیرفعال می‌کند و از تحلیل آن‌ها در صورت کرش جلوگیری می‌کند. Red Hat هشدار داد که این اقدام، ضمن کاهش خطر، توانایی تحلیل کرش برای باینری‌های SUID را نیز از بین می‌برد.
توزیع‌های Amazon Linux، Debian و Gentoo نیز اطلاعیه‌هایی منتشر کردند. Debian به‌صورت پیش‌فرض در برابر CVE-2025-4598 آسیب‌پذیر نیست، مگر اینکه پکیج systemd-coredump نصب شده باشد. همچنین، CVE-2025-4598 روی نسخه‌های Ubuntu تأثیری ندارد.
Qualys کد اثبات مفهومی (PoC) برای هر دو آسیب‌پذیری توسعه داده‌است که نشان می‌دهد مهاجم محلی می‌تواند از Core Dump فرآیند کرش‌شده unix_chkpwd (ابزار بررسی رمز عبور) استفاده کرده و هش‌های رمز عبور را از فایل /etc/shadow استخراج کند.
Canonical اعلام کرد که CVE-2025-5054 محدود به افشای حافظه فرآیندهای SUID است و PoC تنها می‌تواند هش رمز عبور را با تأثیر محدود در دنیای واقعی نشت دهد.
هشدار امنیتی
Qualys هشدار داد که سوءاستفاده از این آسیب‌پذیری‌ها محرمانگی اطلاعات را به خطر می‌اندازد، زیرا مهاجمان می‌توانند داده‌هایی مانند رمزهای عبور، کلیدهای رمزنگاری یا اطلاعات مشتریان را از Core Dump استخراج کنند. این امر می‌تواند به اختلال عملیاتی، آسیب به اعتبار سازمان و نقض مقررات قانونی منجر شود. Qualys به سازمان‌ها توصیه کرد که پچ‌ها را نصب کنند، مانیتورینگ دقیق پیاده‌سازی کنند و دسترسی‌ها را محدود کنند.
