CVE-2026-15059: systemd-oomd 本地权限提升与任意进程终止漏洞

systemd-oomd: unprivileged users can terminate arbitrary processes 漏洞概述 漏洞名称: systemd-oomd: unprivileged users can terminate arbitrary processes CVE ID: CVE-2026-15059 CVSS v3 base metrics: - Attack vector: Local - Attack complexity: Low - Privileges required: None - User interaction: None - Scope: Unchanged - Confidentiality: None - Integrity: None - Availability: High Severity: Moderate (5.9 / 10) 影响范围 受影响版本: >= 250 修复版本: 261 260.3 259.7 258.9 受影响组件: - systemd-oomd - io.systemd.oom.ReportManagedOOMGroups - /run/systemd/oom/io.systemd.ManagedOOM - src/oom/oom-manager.c - src/oom/oom-util.c - src/basic/cgroup-util.c 攻击面: - 本地未特权用户可通过systemd-oom的IPC API终止任意本地进程，因为缺少路径遍历验证。 - 攻击者可以提交一个看似属于其用户切片的路径，但包含足够的 遍历以解析到攻击者控制的目录（如 ），从而读取攻击者控制的资源压力数据并发送 给攻击者选择的PIDs。 修复方案 补丁版本: - v261 (c04e8c4) - v260.3 (1a2a881) - v259.7 (367550c) - v258.9 (af4e02f) 临时解决方案: - 禁用对 套接字的未特权访问，通过在 中添加以下内容： - 禁用 服务。 技术根因分析 信任边界: - 源：本地未特权用户通过 输入。 - 目标：特权cgroup文件读取和递归进程杀死由 执行。 - 错误假设：包含 组件的路径在解析为真实cgroup路径时是安全的。 授权基于非规范路径文本: - 请求处理程序解析cgroup控制的JSON字段，包括 ，然后检查非根发送者的所有权。 - 从提供的cgroup路径中的切片名称派生所有者UID。 - 此检查不能证明最终文件系统目标是cgroup目录，只能证明提交的字符串包含一个用户切片组件，该组件解析为发送者的UID。 后续规范化允许遍历出CGroupFS: - 授权后，cgroup帮助函数通过拼接 、未受信任的cgroup路径和后缀来构造真实文件系统路径，然后简化结果。 - 如果路径包含 ， 可以将构造的路径减少到 之外的位置，例如进入 攻击者控制的目录。 攻击者控制的CGroup数据被消耗: - 通过相同的路径解析帮助程序读取组压力和内存记账文件。 - 攻击者可以用常规文件满足这些读取，并提供使假cgroup看起来超过OOM管理阈值的伪造值。 特权杀死目标: - 当选择cgroup进行杀死时， 增加记账xattrs并发送 给解析的cgroup.procs路径中列出的PIDs。 - cgroup进程迭代器通过 打开 。 - 因此，攻击者控制的假 文件可以提名任意PIDs供 杀死。 次要XAttr符号链接跟随问题: - xattr更新帮助程序读取现有xattr值，递增它，然后写回。 - 低级帮助程序使用不同的符号链接行为： 读取符号链接本身，而 跟随符号链接。这创建了一个受限的固定名称xattr写入原语，当攻击者可以在解析的cgroup路径中放置符号链接时。 攻击者先决条件 本地未特权账户或等效的本地代码执行。 能够连接到 服务的套接字命名空间中的 。 能够创建类似cgroup的目录和文件，这些目录和文件在 服务的套接字命名空间中可见。 对目标PID的了解。 正在运行并配置为管理OOM报告。 暴露的接口 世界可访问的varlink套接字： 方法： 感兴趣的输入字段： - path - property - limit - duration - mode 候选杀死目标 特权守护进程执行状态转换。 在身份验证操作中运行的SUID助手。 包、固件、打印机、磁盘或策略管理服务。 安全监控或端点保护进程，如果存在。 可用性关键的生产服务。 利用演练 1. 确认 正在运行，并且管理的OOM varlink套接字存在于 。 2. 从 读取调用者的cgroup路径，并识别由systemd的用户会话层次结构中使用的 组件。 3. 在用户可写的路径（如 ）中创建类似cgroup的目录。 4. 用语法上有效的值填充假cgroup记账文件，使假cgroup有资格被杀死。 5. 在假 文件中放置目标PID。 6. 提交 varlink请求，其 以有效用户cgroup路径开头，然后遍历出 进入假目录。 7. 设置每个cgroup请求对象为： ，属性： ，限制：1，持续时间：0。 8. 等待 处理假cgroup并发送 给假 中列出的PID。 概念验证与证据 代表性有效载荷形状: 假CGroup目录内容: 端到端复现器:

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-15059: systemd-oomd 本地权限提升与任意进程终止漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-15059: systemd-oomd 本地权限提升与任意进程终止漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！