CVE-2026-7867-disk2root

Filesystem.Mount → as-user Spoofing → Authorization Bypass → Root-context Mount → LPE

نظرة عامة

CVE-2026-7867 هي ثغرة تصعيد صلاحيات محلية في udisks2 تتعلق بطريقة D-Bus الخاصة بـ Filesystem.Mount، وخيار as-user، وتدفقات التركيب المُدارة عبر fstab، ومعالجة تفويض معيبة.

يحتوي هذا المستودع الخاص على ملاحظات البحث الفني ونصوص PoC المستخدمة للتحقق من المشكلة في بيئة مختبرية خاضعة للرقابة.

تم اكتشاف الثغرة والإبلاغ عنها بواسطة:

تم تخصيص المعرف التالي للمشكلة:

CVE-2026-7867

الملخص التنفيذي

تنتج الثغرة عن علاقة ثقة معيبة بين UID الحقيقي لمتصل D-Bus وUID المحسوب/الفعلي الناتج عن خيار التركيب as-user.

في التدفقات المعيبة، يمكن لمستخدم محلي غير ممتاز التأثير على مسار تنفيذ التركيب بحيث يتم تركيب نظام ملفات في سياق ممتاز/جذر دون سلوك تفويض PolicyKit المتوقع.

الخلل الجوهري ليس مجرد «خيارات تركيب يتحكم بها المستخدم».

المشكلة الفعلية هي:

يفشل udisks2 في التمييز باستمرار بين هوية المتصل الأصلية وهوية as-user المحسوبة أثناء تفويض وتنفيذ تركيب fstab.

الثغرة في لمحة

المنطقة المتأثرة

يرتبط المنطق المعيب بمسار معالجة تركيب fstab داخل udisks2، خاصةً عندما يتضمن طلب التركيب ما يلي:

Filesystem.Mount
as-user
x-udisks-auth
user
users

المناطق الحساسة أمنيًا ذات الصلة هي:

D-Bus caller identity
        ↓
as-user option handling
        ↓
fstab authorization logic
        ↓
PolicyKit decision flow
        ↓
root-context mount execution

تدفق الهجوم

┌─────────────────────────────┐
│ Unprivileged Local User     │
└──────────────┬──────────────┘
               │
               │ Filesystem.Mount
               │ with as-user influence
               ▼
┌─────────────────────────────┐
│ udisks2 / udisksd           │
│ privileged system daemon    │
└──────────────┬──────────────┘
               │
               │ fstab logic evaluates
               │ user/auth options
               ▼
┌─────────────────────────────┐
│ Authorization Gap           │
│ mount_other_user not        │
│ enforced in skipped path    │
└──────────────┬──────────────┘
               │
               │ root-context branch reached
               ▼
┌─────────────────────────────┐
│ Filesystem Mounted          │
│ without expected auth flow  │
└──────────────┬──────────────┘
               │
               │ impact depends on mount flags
               ▼
┌─────────────────────────────┐
│ Local Privilege Escalation  │
│ controlled lab validation   │
└─────────────────────────────┘

السبب الجذري

ينبع السلوك المعيب من خلل في الخلط بين الهويات.

يمتلك النظام عدة مفاهيم للهوية:

real D-Bus caller UID
computed as-user UID
effective mount UID
udisksd daemon privilege context

يفشل التدفق المعيب في فرض هذه الهويات بشكل متسق.

على وجه الخصوص:

• يمكن أن يصبح mount_other_user صحيحًا بسبب استخدام as-user
• يمكن لخيارات fstab مثل x-udisks-auth أو user أو users أن تؤثر على مسار التفويض
• يمكن تخطي كتلة التفويض
• لا يتم فرض فحص mount_other_user بشكل موثوق خارج تلك الكتلة
• يمكن لمسار التركيب الوصول إلى فرع مخصص للتنفيذ الحقيقي من الجذر/المشرف
• يتم التركيب بواسطة سياق الخفي الممتاز

النتيجة هي تجاوز لحدود الصلاحيات المحلية.

مشكلة x-udisks-auth

من المفترض أن يفرض خيار x-udisks-auth تدفق تفويض إداري عبر PolicyKit.

السلوك المتوقع:

mount request
    ↓
attempt mount as caller
    ↓
permission/auth failure
    ↓
PolicyKit filesystem-fstab check
    ↓
admin approval
    ↓
mount as authorized privileged action

السلوك المعيب:

mount request with as-user influence
    ↓
computed identity affects execution
    ↓
mount succeeds too early
    ↓
PolicyKit auth path is not reached as expected
    ↓
privileged mount state is achieved

وهذا يجعل النموذج الأمني المحيط بـ x-udisks-auth غير موثوق في المسار المعيب.

انتهاك النموذج الأمني

النموذج المتوقع:

Unprivileged user
    ↓
D-Bus mount request
    ↓
PolicyKit / fstab authorization
    ↓
restricted mount behavior

النموذج المكسور:

Unprivileged user
    ↓
D-Bus mount request with as-user spoofing
    ↓
authorization logic mismatch
    ↓
root-context mount execution

تتسم الثغرة بخطورة خاصة لأن الخدمة المتأثرة تعمل بصلاحيات مرتفعة.

الأثر

قد يسمح الاستغلال الناجح لمستخدم محلي غير ممتاز بتركيب نظام ملفات عبر udisks2 في مسار تنفيذ بسياق جذر دون طلب التفويض المتوقع.

اعتمادًا على نظام الملفات وعلمات التركيب، قد يشمل الأثر ما يلي:

• تصعيد صلاحيات محلي
• تركيب غير مصرح به لنظام ملفات بسياق جذر
• تجاوز تفويض PolicyKit المتوقع
• تركيب غير آمن لأجهزة مُدارة عبر fstab
• تصعيد قائم على setuid في إعدادات مختبرية متأثرة
• تنفيذ غير متوقع لملفات من أنظمة ملفات يتحكم بها المهاجم أو مُجهزة مسبقًا

شروط الاستغلال

هذه ثغرة محلية.

تشمل الشروط ذات الصلة ما يلي:

هيكل المستودع

.
├── README.md
├── disk2root.sh              ← main exploit (self-contained LPE)
└── poc/
    ├── setup_lpe_env.sh       ← lab environment setup
    ├── f2_mount_as_user_bypass.sh
    ├── f2_check_nosuid.sh
    ├── f2_suid_test.sh
    ├── f2_final.sh
    └── cleanup_lpe_env.sh

الاستغلال — disk2root.sh

استغلال مُسلَّح مكتمل الذات. يبني حمولته الخاصة SUID بصلاحيات جذر، وينشئ صورة قرص مُجهزة، ثم يركّبها عبر تجاوز polkit باستخدام as-user=root، ويمنحك قشرة جذر.

بدء سريع

الخيار 1 — التشغيل بصلاحيات الجذر (يعمل في كل البيئات، بما في ذلك SSH):

./disk2root.sh

يقوم النص تلقائيًا بما يلي:

1. يترجم ملفًا ثنائيًا ثابتًا لقشرة SUID بصلاحيات جذر
2. ينشئ صورة ext4 بحجم 32MB على جهاز loop
3. يحقن الملف الثنائي بالإعداد uid=0 mode=4755 عبر debugfs
4. يضيف إدخالًا إلى fstab مع x-udisks-auth
5. ينتقل إلى مستخدم غير ممتاز عبر su
6. يستدعي Filesystem.Mount مع as-user=root (تجاوز polkit)
7. ينفذ الملف الثنائي SUID ← قشرة جذر
8. ينظف كل شيء عند الخروج

لتحديد المستخدم الذي سيتم التصعيد منه:

./disk2root.sh testuser

إذا لم يتم تحديد مستخدم، يختار النص أول مستخدم عادي على النظام أو ينشئ مستخدمًا مؤقتًا.

الخيار 2 — التشغيل كمستخدم غير ممتاز (سطح مكتب / جلسة نشطة):

./disk2root.sh

على الأنظمة ذات جلسة polkit نشطة (تسجيل دخول سطح المكتب، GNOME/KDE)، يكون النص مكتمل الذات بالكامل — ينشئ جهاز loop خاصًا به عبر udisksctl أو D-Bus LoopSetup، ويقوم بالتركيب عبر as-user=root، ويصعّد الصلاحيات دون أي إعداد مسبق.

الخيار 3 — التشغيل كمستخدم غير ممتاز (SSH، بعد الإعداد):

إذا كانت البيئة مُجهزة مسبقًا (على سبيل المثال، بتشغيل poc/setup_lpe_env.sh بصلاحيات الجذر، أو بتشغيل سابق لـ ./disk2root.sh بصلاحيات الجذر)، يمكن لأي مستخدم غير ممتاز إعادة الاستغلال:

./disk2root.sh

يكتشف النص تلقائيًا إدخالات fstab المعيبة ويستخدمها.

التنظيف

./disk2root.sh --cleanup

يزيل جميع الآثار: إدخال fstab، جهاز loop، نقطة التركيب، المستخدم المؤقت.

تتابع الاستراتيجيات

عند تشغيله كمستخدم غير ممتاز، يجرب النص عدة مسارات بالترتيب:

[A] Self-contained
    build payload → create ext4 image → debugfs inject SUID binary
    → loop-setup (python3 GIO / udisksctl) → mount as-user=root
    ✓ works on desktop sessions

[B] Fstab fallback
    scan /etc/fstab for x-udisks-auth / user / users entries
    → mount as-user=root → find SUID binary on mounted fs
    ✓ works on SSH when environment is prepared

مثال على المخرجات

╔═════════════════════════════════════════════════════╗
║  CVE-2026-7867 — disk2root                          ║
║  udisks2 as-user polkit bypass → LPE root shell     ║
╚═════════════════════════════════════════════════════════╝

[*] uid=1002 (testuser) — exploiting...
    fstab: /dev/loop5 → /mnt/disk2root (x-udisks-auth)
    mounted: /mnt/disk2root
    nosuid: not set
    suid: pwn (4755 root:root)

╔═════════════════════════════════════════════════════╗
║  dropping into root shell — type 'exit' to return   ║
╚═════════════════════════════════════════════════════════╝

[+] root shell — uid=0 euid=0
root@target:/tmp#

المتطلبات

نصوص PoC (poc/)

نصوص تحقق فردية استُخدمت أثناء البحث. هذه هي اللبنات الأساسية التي قادت إلى disk2root.sh.

التدفق المختبري (باستخدام نصوص PoC الفردية)

1. Run poc/setup_lpe_env.sh as root
2. su - testuser
3. Run poc/f2_mount_as_user_bypass.sh
4. Run poc/f2_final.sh for full validation
5. Run poc/cleanup_lpe_env.sh as root

أو ببساطة استخدم disk2root.sh الذي يجمع كل ما سبق.

الأولية التقنية

الأولية التي يثبتها هذا البحث هي:

as-user option spoofing inside privileged mount orchestration

الانتقال الحرج هو:

unprivileged D-Bus caller
        ↓
spoofed/computed mount identity
        ↓
authorization path confusion
        ↓
root-context mount execution

لهذا السبب تُصنَّف المشكلة كثغرة تصعيد صلاحيات محلية.

لماذا هذه الثغرة مهمة

يُعتبر udisks2 عادةً خفي إدارة تخزين ممتازًا موثوقًا.

الثغرة في هذه الطبقة عالية التأثير لأنها تقع بين:

desktop/session users
D-Bus method calls
PolicyKit authorization
filesystem mount operations
root daemon privileges

يمكن أن يؤثر الخلل في معالجة الهوية هنا مباشرةً على حدود الصلاحيات المحلية.

أفكار للكشف

يمكن للمدافعين مراقبة نشاط التركيب المشبوه في udisks2 الذي يتضمن as-user.

مصادر تتبع مفيدة:

udisksd logs
D-Bus method calls
PolicyKit logs
mount table changes
/proc/mounts
/etc/fstab
journalctl

أوامر مفيدة:

findmnt
mount
cat /proc/mounts
journalctl -u udisks2
journalctl | grep -i udisks
journalctl | grep -i polkit

أنماط مشبوهة:

non-root user triggering Filesystem.Mount
as-user=root usage
unexpected mount without PolicyKit prompt
mounts lacking nosuid/noexec/nodev
setuid execution from recently mounted filesystems
unexpected loop device mounts

التخفيف

تحديث udisks2

طبّق الإصلاح المقدم من البائع بمجرد توفره.

الإصدار المخطط للإصلاح:

udisks 2.11.2

مراجعة إدخالات fstab

راجع الإدخالات التي تستخدم:

x-udisks-auth
user
users

راجع بشكل خاص أنظمة الملفات التي يمكن أن تحتوي على محتوى قابل للتنفيذ أو setuid.

تقييد وصول القشرة المحلية

بما أنها ثغرة محلية، فإن تقليل الوصول المحلي غير الموثوق يقلل من التعرض للخطر.

مراقبة نشاط التركيب

راقب عمليات التركيب غير المتوقعة عبر:

udisksd

خاصةً عند حدوثها بواسطة مستخدمين غير جذر.

فرض علمات تركيب أكثر أمانًا

حيثما أمكن، استخدم:

nosuid
noexec
nodev

قد تقلل هذه العلمات من الأثر بعد التركيب.

تحصين قواعد PolicyKit

راجع قواعد PolicyKit المتعلقة بإجراءات تركيب udisks.

تأكد من أن المستخدمين غير الممتازين لا يمكنهم تفعيل مسارات التركيب الحساسة دون تفويض صريح.

اتجاه الإصلاح

يجب أن يضمن الإصلاح المتين ما يلي:

• الحفاظ على UID الأصلي لمتصل D-Bus
• ألا يحل UID as-user المحسوب محل هوية المتصل لأغراض التفويض
• أن يفعّل mount_other_user دائمًا فحوصات PolicyKit المناسبة
• أن يقتصر تنفيذ التركيب بسياق الجذر على تدفقات الجذر/المشرف المصرح بها فعليًا
• أن يفرض x-udisks-auth المصادقة بشكل متسق
• مراجعة مسارات التعليمات البرمجية ذات الصلة مثل معالجة أنظمة الملفات المشفرة

الجدول الزمني للإفصاح

الاعتمادات

خطة النشر العام

بعد رفع الحظر، يمكن تحويل هذا المستودع إلى مستودع بحثي عام يتضمن:

docs/
├── technical-analysis.md
├── root-cause.md
├── lab-setup.md
├── exploit-flow.md
├── detection.md
└── mitigation.md

إضافات عامة موصى بها:

• رابط CVE الرسمي
• رابط نشرة Red Hat
• رابط التصحيح من المنبع (upstream)
• مصفوفة الإصدارات المتأثرة/المصححة
• دليل إعادة إنتاج آمن
• ملاحظات استخدام PoC خاضعة للرقابة
• دليل الكشف والتحصين

إخلاء المسؤولية

هذا المستودع مخصص لأغراض البحث الأمني المصرح به والتنسيق مع البائع والتحقق الدفاعي فقط.

نصوص PoC مخصصة لبيئات الاختبار المعزولة.

لا تشغّل هذه النصوص على أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

المؤلفون غير مسؤولين عن إساءة استخدام هذا البحث.

CVE-2026-7867
udisks2 Local Privilege Escalation Research