CVE-2026-7867-disk2root

Filesystem.Mount → as-user स्पूफिंग → प्राधिकरण बायपास → रूट-संदर्भ माउंट → LPE

अवलोकन

CVE-2026-7867 udisks2 में एक स्थानीय विशेषाधिकार वृद्धि भेद्यता है जिसमें Filesystem.Mount D-Bus विधि, as-user विकल्प, fstab-प्रबंधित माउंट प्रवाह, और दोषपूर्ण प्राधिकरण हैंडलिंग शामिल है।

यह निजी भंडार तकनीकी अनुसंधान नोट्स और PoC स्क्रिप्ट्स रखता है जिनका उपयोग नियंत्रित प्रयोगशाला वातावरण में मुद्दे को मान्य करने के लिए किया गया था।

भेद्यता की खोज और रिपोर्ट निम्नलिखित द्वारा की गई:

मुद्दे को निर्दिष्ट किया गया:

CVE-2026-7867

कार्यकारी सारांश

यह भेद्यता वास्तविक D-Bus कॉलर UID और as-user माउंट विकल्प द्वारा उत्पन्न गणित/प्रभावी UID के बीच एक दोषपूर्ण विश्वास संबंध के कारण होती है।

कमजोर प्रवाहों में, एक विशेषाधिकारहीन स्थानीय उपयोगकर्ता माउंट निष्पादन पथ को इस प्रकार प्रभावित कर सकता है कि फाइलसिस्टम माउंट एक विशेषाधिकृत/रूट संदर्भ में अपेक्षित PolicyKit प्राधिकरण व्यवहार के बिना किया जाता है।

मुख्य बग केवल "उपयोगकर्ता-नियंत्रित माउंट विकल्प" नहीं है।

वास्तविक समस्या यह है:

udisks2 fstab माउंट प्राधिकरण और निष्पादन के दौरान मूल कॉलर पहचान को गणित as-user पहचान से लगातार अलग करने में विफल रहता है।

भेद्यता एक नज़र में

प्रभावित क्षेत्र

कमजोर तर्क udisks2 के अंदर fstab माउंट हैंडलिंग पथ से जुड़ा है, विशेष रूप से जब माउंट अनुरोध में शामिल होता है:

Filesystem.Mount
as-user
x-udisks-auth
user
users

प्रासंगिक सुरक्षा-संवेदनशील क्षेत्र हैं:

D-Bus कॉलर पहचान
        ↓
as-user विकल्प हैंडलिंग
        ↓
fstab प्राधिकरण तर्क
        ↓
PolicyKit निर्णय प्रवाह
        ↓
रूट-संदर्भ माउंट निष्पादन

आक्रमण प्रवाह

┌─────────────────────────────┐
│ विशेषाधिकारहीन स्थानीय उपयोगकर्ता │
└──────────────┬──────────────┘
               │
               │ Filesystem.Mount
               │ with as-user influence
               ▼
┌─────────────────────────────┐
│ udisks2 / udisksd           │
│ विशेषाधिकृत सिस्टम डेमॉन   │
└──────────────┬──────────────┘
               │
               │ fstab तर्क मूल्यांकन करता है
               │ user/auth विकल्प
               ▼
┌─────────────────────────────┐
│ प्राधिकरण अंतराल            │
│ mount_other_user            │
│ छोड़े गए पथ में लागू नहीं   │
└──────────────┬──────────────┘
               │
               │ रूट-संदर्भ शाखा तक पहुँच
               ▼
┌─────────────────────────────┐
│ फाइलसिस्टम माउंट किया गया   │
│ अपेक्षित प्राधिकरण प्रवाह   │
│ के बिना                     │
└──────────────┬──────────────┘
               │
               │ प्रभाव माउंट फ्लैग्स पर निर्भर करता है
               ▼
┌─────────────────────────────┐
│ स्थानीय विशेषाधिकार वृद्धि  │
│ नियंत्रित प्रयोगशाला मान्यता │
└─────────────────────────────┘

मूल कारण

कमजोर व्यवहार पहचान भ्रम बग के कारण आता है।

सिस्टम में कई पहचान अवधारणाएँ हैं:

वास्तविक D-Bus कॉलर UID
गणित as-user UID
प्रभावी माउंट UID
udisksd डेमॉन विशेषाधिकार संदर्भ

कमजोर प्रवाह इन पहचानों को लगातार लागू करने में विफल रहता है।

विशेष रूप से:

• mount_other_user सत्य हो सकता है क्योंकि as-user का उपयोग किया जाता है
• x-udisks-auth, user, या users जैसे fstab विकल्प प्राधिकरण पथ को प्रभावित कर सकते हैं
• प्राधिकरण ब्लॉक को छोड़ा जा सकता है
• उस ब्लॉक के बाहर mount_other_user जांच विश्वसनीय रूप से लागू नहीं होती
• माउंट पथ वास्तविक रूट/एडमिन निष्पादन के लिए बनाई गई शाखा तक पहुँच सकता है
• माउंट विशेषाधिकृत डेमॉन संदर्भ द्वारा किया जाता है

परिणाम एक स्थानीय विशेषाधिकार सीमा बायपास है।

x-udisks-auth समस्या

x-udisks-auth विकल्प को प्रशासनिक PolicyKit प्राधिकरण प्रवाह को बाध्य करना चाहिए।

अपेक्षित व्यवहार:

माउंट अनुरोध
    ↓
कॉलर के रूप में माउंट का प्रयास
    ↓
अनुमति/प्राधिकरण विफलता
    ↓
PolicyKit filesystem-fstab जांच
    ↓
एडमिन अनुमोदन
    ↓
अधिकृत विशेषाधिकृत कार्रवाई के रूप में माउंट

कमजोर व्यवहार:

as-user प्रभाव के साथ माउंट अनुरोध
    ↓
गणित पहचान निष्पादन को प्रभावित करती है
    ↓
माउंट बहुत जल्दी सफल होता है
    ↓
PolicyKit प्राधिकरण पथ अपेक्षित रूप से नहीं पहुँचा जाता
    ↓
विशेषाधिकृत माउंट स्थिति प्राप्त होती है

यह कमजोर पथ में x-udisks-auth के आसपास के सुरक्षा मॉडल को अविश्वसनीय बनाता है।

सुरक्षा मॉडल का उल्लंघन

अपेक्षित मॉडल:

विशेषाधिकारहीन उपयोगकर्ता
    ↓
D-Bus माउंट अनुरोध
    ↓
PolicyKit / fstab प्राधिकरण
    ↓
प्रतिबंधित माउंट व्यवहार

टूटा हुआ मॉडल:

विशेषाधिकारहीन उपयोगकर्ता
    ↓
as-user स्पूफिंग के साथ D-Bus माउंट अनुरोध
    ↓
प्राधिकरण तर्क बेमेल
    ↓
रूट-संदर्भ माउंट निष्पादन

यह बग विशेष रूप से गंभीर है क्योंकि प्रभावित सेवा उच्च विशेषाधिकारों के साथ चलती है।

प्रभाव

सफल शोषण एक विशेषाधिकारहीन स्थानीय उपयोगकर्ता को udisks2 के माध्यम से एक फाइलसिस्टम को रूट-संदर्भ निष्पादन पथ में अपेक्षित प्राधिकरण संकेत के बिना माउंट करने दे सकता है।

फाइलसिस्टम और माउंट फ्लैग्स के आधार पर, प्रभाव में शामिल हो सकते हैं:

• स्थानीय विशेषाधिकार वृद्धि
• अनधिकृत रूट-संदर्भ फाइलसिस्टम माउंटिंग
• अपेक्षित PolicyKit प्राधिकरण का बायपास
• असुरक्षित fstab-प्रबंधित उपकरण माउंटिंग
• प्रभावित प्रयोगशाला कॉन्फ़िगरेशन में setuid-आधारित वृद्धि
• हमलावर-नियंत्रित या तैयार फाइलसिस्टम से फ़ाइलों का अप्रत्याशित निष्पादन

शोषण की शर्तें

यह एक स्थानीय भेद्यता है।

प्रासंगिक शर्तें:

भंडार लेआउट

.
├── README.md
├── disk2root.sh              ← main exploit (self-contained LPE)
└── poc/
    ├── setup_lpe_env.sh       ← lab environment setup
    ├── f2_mount_as_user_bypass.sh
    ├── f2_check_nosuid.sh
    ├── f2_suid_test.sh
    ├── f2_final.sh
    └── cleanup_lpe_env.sh

Exploit — disk2root.sh

स्व-निहित हथियारबंद exploit. यह अपना स्वयं का SUID रूट पेलोड बनाता है, एक तैयार डिस्क इमेज बनाता है, इसे as-user=root polkit बायपास के माध्यम से माउंट करता है, और रूट शेल में प्रवेश करता है।

त्वरित आरंभ

विकल्प 1 — रूट के रूप में चलाएं (हर जगह काम करता है, SSH सहित):

./disk2root.sh

स्क्रिप्ट स्वचालित रूप से:

1. एक स्थिर SUID रूट शेल बाइनरी संकलित करती है
2. लूप डिवाइस पर 32MB ext4 इमेज बनाती है
3. debugfs के माध्यम से uid=0 mode=4755 के साथ बाइनरी इंजेक्ट करती है
4. x-udisks-auth के साथ fstab प्रविष्टि जोड़ती है
5. su के माध्यम से विशेषाधिकारहीन उपयोगकर्ता पर जाती है
6. as-user=root (polkit बायपास) के साथ Filesystem.Mount को कॉल करती है
7. SUID बाइनरी निष्पादित करती है → रूट शेल
8. बाहर निकलने पर सब कुछ साफ करती है

यह निर्दिष्ट करने के लिए कि किस उपयोगकर्ता से वृद्धि करनी है:

./disk2root.sh testuser

यदि कोई उपयोगकर्ता निर्दिष्ट नहीं है, तो स्क्रिप्ट सिस्टम पर पहले नियमित उपयोगकर्ता को चुनती है या एक अस्थायी उपयोगकर्ता बनाती है।

विकल्प 2 — विशेषाधिकारहीन उपयोगकर्ता के रूप में चलाएं (डेस्कटॉप / सक्रिय सत्र):

./disk2root.sh

सक्रिय polkit सत्र (डेस्कटॉप लॉगिन, GNOME/KDE) वाले सिस्टम पर, स्क्रिप्ट पूरी तरह से स्व-निहित है — यह udisksctl या D-Bus LoopSetup के माध्यम से अपना स्वयं का लूप डिवाइस बनाती है, as-user=root के माध्यम से माउंट करती है, और बिना किसी पूर्व सेटअप के वृद्धि करती है।

विकल्प 3 — विशेषाधिकारहीन उपयोगकर्ता के रूप में चलाएं (SSH, सेटअप के बाद):

यदि वातावरण पहले से तैयार किया गया था (जैसे, रूट के रूप में poc/setup_lpe_env.sh चलाकर, या पिछले रूट के रूप में ./disk2root.sh रन द्वारा), कोई भी विशेषाधिकारहीन उपयोगकर्ता पुनः शोषण कर सकता है:

./disk2root.sh

स्क्रिप्ट स्वचालित रूप से कमजोर fstab प्रविष्टियों का पता लगाती है और उनका उपयोग करती है।

सफाई

./disk2root.sh --cleanup

सभी कलाकृतियाँ हटाता है: fstab प्रविष्टि, लूप डिवाइस, माउंट बिंदु, अस्थायी उपयोगकर्ता।

रणनीति कैस्केड

जब विशेषाधिकारहीन के रूप में चलाया जाता है, तो स्क्रिप्ट क्रम में कई पथ आज़माती है:

[A] स्व-निहित
    पेलोड बनाएं → ext4 इमेज बनाएं → debugfs SUID बाइनरी इंजेक्ट करें
    → loop-setup (python3 GIO / udisksctl) → mount as-user=root
    ✓ डेस्कटॉप सत्रों पर काम करता है

[B] Fstab फॉलबैक
    /etc/fstab में x-udisks-auth / user / users प्रविष्टियाँ स्कैन करें
    → mount as-user=root → माउंटेड fs पर SUID बाइनरी ढूँढें
    ✓ SSH पर काम करता है जब वातावरण तैयार किया गया हो

उदाहरण आउटपुट

╔═════════════════════════════════════════════════════╗
║  CVE-2026-7867 — disk2root                          ║
║  udisks2 as-user polkit bypass → LPE root shell     ║
╚═════════════════════════════════════════════════════════╝

[*] uid=1002 (testuser) — exploiting...
    fstab: /dev/loop5 → /mnt/disk2root (x-udisks-auth)
    mounted: /mnt/disk2root
    nosuid: not set
    suid: pwn (4755 root:root)

╔═════════════════════════════════════════════════════╗
║  dropping into root shell — type 'exit' to return   ║
╚═════════════════════════════════════════════════════════╝

[+] root shell — uid=0 euid=0
root@target:/tmp#

आवश्यकताएँ

PoC स्क्रिप्ट्स (poc/)

अनुसंधान के दौरान उपयोग किए गए व्यक्तिगत मान्यता स्क्रिप्ट। ये वे बिल्डिंग ब्लॉक हैं जो disk2root.sh की ओर ले गए।

प्रयोगशाला प्रवाह (व्यक्तिगत PoC स्क्रिप्ट का उपयोग करके)

1. रूट के रूप में poc/setup_lpe_env.sh चलाएं
2. su - testuser
3. poc/f2_mount_as_user_bypass.sh चलाएं
4. पूर्ण मान्यता के लिए poc/f2_final.sh चलाएं
5. रूट के रूप में poc/cleanup_lpe_env.sh चलाएं

या बस disk2root.sh का उपयोग करें जो उपरोक्त सभी को जोड़ता है।

तकनीकी प्राथमिकता

इस अनुसंधान द्वारा प्रदर्शित प्राथमिकता है:

विशेषाधिकृत माउंट ऑर्केस्ट्रेशन के अंदर as-user विकल्प स्पूफिंग

महत्वपूर्ण संक्रमण है:

विशेषाधिकारहीन D-Bus कॉलर
        ↓
स्पूफ की गई/गणित माउंट पहचान
        ↓
प्राधिकरण पथ भ्रम
        ↓
रूट-संदर्भ माउंट निष्पादन

यही कारण है कि यह मुद्दा स्थानीय विशेषाधिकार वृद्धि भेद्यता के रूप में योग्य है।

यह बग क्यों मायने रखता है

udisks2 को आमतौर पर एक विशेषाधिकृत भंडारण प्रबंधन डेमॉन के रूप में भरोसा किया जाता है।

इस परत में एक बग उच्च-प्रभाव वाला है क्योंकि यह इनके बीच बैठता है:

डेस्कटॉप/सत्र उपयोगकर्ता
D-Bus विधि कॉल
PolicyKit प्राधिकरण
फाइलसिस्टम माउंट संचालन
रूट डेमॉन विशेषाधिकार

यहां पहचान हैंडलिंग में एक दोष सीधे स्थानीय विशेषाधिकार सीमाओं को प्रभावित कर सकता है।

पता लगाने के विचार

रक्षक as-user से जुड़ी संदिग्ध udisks2 माउंट गतिविधि की निगरानी कर सकते हैं।

उपयोगी टेलीमेट्री स्रोत:

udisksd लॉग
D-Bus विधि कॉल
PolicyKit लॉग
माउंट तालिका परिवर्तन
/proc/mounts
/etc/fstab
journalctl

उपयोगी कमांड:

findmnt
mount
cat /proc/mounts
journalctl -u udisks2
journalctl | grep -i udisks
journalctl | grep -i polkit

संदिग्ध पैटर्न:

गैर-रूट उपयोगकर्ता द्वारा Filesystem.Mount ट्रिगर करना
as-user=root का उपयोग
PolicyKit संकेत के बिना अप्रत्याशित माउंट
nosuid/noexec/nodev से रहित माउंट
हाल ही में माउंट किए गए फाइलसिस्टम से setuid निष्पादन
अप्रत्याशित लूप डिवाइस माउंट

शमन

udisks2 अपडेट करें

उपलब्ध होने पर विक्रेता द्वारा प्रदान किए गए फिक्स को लागू करें।

नियोजित निर्धारित रिलीज़:

udisks 2.11.2

fstab प्रविष्टियाँ समीक्षा करें

इनका उपयोग करने वाली प्रविष्टियों का ऑडिट करें:

x-udisks-auth
user
users

विशेष रूप से उन फाइलसिस्टम की समीक्षा करें जिनमें निष्पादन योग्य या setuid सामग्री हो सकती है।

स्थानीय शेल पहुंच प्रतिबंधित करें

चूंकि यह एक स्थानीय भेद्यता है, अविश्वसनीय स्थानीय पहुंच को कम करने से जोखिम कम होता है।

माउंट गतिविधि की निगरानी करें

इसके माध्यम से अप्रत्याशित माउंट संचालन की निगरानी करें:

udisksd

विशेष रूप से जब गैर-रूट उपयोगकर्ताओं द्वारा ट्रिगर किया गया हो।

सुरक्षित माउंट फ्लैग्स लागू करें

जहां लागू हो, इनका उपयोग करें:

nosuid
noexec
nodev

ये फ्लैग्स माउंट-पश्चात प्रभाव को कम कर सकते हैं।

PolicyKit नियमों को सख्त करें

udisks माउंट क्रियाओं से संबंधित PolicyKit नियमों की समीक्षा करें।

सुनिश्चित करें कि विशेषाधिकारहीन उपयोगकर्ता स्पष्ट प्राधिकरण के बिना संवेदनशील माउंट पथों को ट्रिगर नहीं कर सकते।

फिक्स दिशा

एक मजबूत फिक्स को यह सुनिश्चित करना चाहिए कि:

• मूल D-Bus कॉलर UID संरक्षित रहे
• गणित as-user UID प्राधिकरण के लिए कॉलर पहचान को प्रतिस्थापित न करे
• mount_other_user हमेशा उचित PolicyKit जांचों को ट्रिगर करे
• रूट-संदर्भ माउंट निष्पादन वास्तविक अधिकृत रूट/एडमिन प्रवाहों तक सीमित रहे
• x-udisks-auth लगातार प्रमाणीकरण लागू करे
• एन्क्रिप्टेड फाइलसिस्टम हैंडलिंग जैसे संबंधित कोड पथों का ऑडिट किया जाए

प्रकटीकरण समयरेखा

श्रेय

सार्वजनिक रिलीज़ योजना

एम्बार्गो हटने के बाद, इस भंडार को इनके साथ सार्वजनिक अनुसंधान भंडार में परिवर्तित किया जा सकता है:

docs/
├── technical-analysis.md
├── root-cause.md
├── lab-setup.md
├── exploit-flow.md
├── detection.md
└── mitigation.md

अनुशंसित सार्वजनिक जोड़:

• आधिकारिक CVE लिंक
• Red Hat सलाहकार लिंक
• अपस्ट्रीम पैच लिंक
• प्रभावित/निर्धारित संस्करण मैट्रिक्स
• सुरक्षित पुनरुत्पादन गाइड
• नियंत्रित PoC उपयोग नोट्स
• पता लगाने और सख्त करने की गाइड

अस्वीकरण

यह भंडार अधिकृत सुरक्षा अनुसंधान, विक्रेता समन्वय और रक्षात्मक मान्यता के लिए है।

PoC स्क्रिप्ट केवल पृथक परीक्षण वातावरण के लिए हैं।

उन सिस्टमों पर इन स्क्रिप्ट्स को न चलाएं जिनके आप मालिक नहीं हैं या जिनके परीक्षण की आपको स्पष्ट अनुमति नहीं है।

लेखक इस अनुसंधान के दुरुपयोग के लिए जिम्मेदार नहीं हैं।

CVE-2026-7867
udisks2 स्थानीय विशेषाधिकार वृद्धि अनुसंधान