CVE-2025-68788

Резюме

В ядре Linux была устранена следующая уязвимость: fsnotify: не генерировать события ACCESS/MODIFY для дочерних объектов при работе со специальными файлами. inotify/fanotify не позволяют пользователям без доступа на чтение к файлу подписываться на события (например, IN_ACCESS/IN_MODIFY), но позволяют тому же пользователю подписываться на события дочерних объектов, когда у пользователя есть доступ к родительскому каталогу (например, /dev). Пользователи без доступа на чтение к файлу, но с доступом на чтение к его родительскому каталогу, всё ещё могут выполнить stat для файла и увидеть, был ли он accessed/modified через изменение atime/mtime. Это неверно для специальных файлов (например, /dev/null). Пользователи, как правило, не наблюдают изменения atime/mtime, когда другие пользователи читают/пишут в специальные файлы, только когда кто-то устанавливает atime/mtime через utimensat(). Привести события fsnotify в соответствие с этим поведением stat и не генерировать события ACCESS/MODIFY для наблюдателей родительского каталога при чтении/записи специальных файлов. События по-прежнему генерируются для наблюдателей родительского каталога при utimensat(). Это закрывает некоторые побочные каналы, которые потенциально могли использоваться для эксфильтрации информации [1]. [1] https://snee.la/pdf/pubs/file-notification-attacks.pdf

Источники

• file-notification-attacksИсследования

  Исследовательские материалы по атакам через побочный канал уведомлений о файлах в Linux, Windows и macOS, демонстрирующие утечку через inotify/FSEvents, тайминг нажатий клавиш и фингерпринтинг веб-сайтов.