Dirty Cow er en nyopdaget sårbarhed i Linux-kernen, der har eksisteret siden 2007.
Den gør det via rettighedseskalering muligt for applikationer - eksempelvis ondsindet kode sneget ind på systemet - at opnå root-adgang. Det fortæller The Register i en detaljeret gennemgang af sårbarheden.
Kodefejlen, som ligger bag sårbarheden, befinder sig i copy-on-write-mekanismen (deraf navnet Dirty Cow), som ligger i Linux-kernen. Fejlen bevirker, at programmer via en race-condition i sidste ende kan ændre på setuid (set user ID upon execution) og ændre i filer ejet af root. Og herfra er det 'game over,' som The Register formulerer det.
Mediet bemærker, at fejl, der tillader rettighedseskalering i sig selv ikke er usædvanlige.
Microsoft fikser den slags problemer i Windows på en nærmest månedlig basis. Den nuværende Linux-bug kan dog vise sig mere end almindelig træls.
Den har eksisteret siden 2007, og den skulle være let at udnytte. Ifølge The Register befinder den sig blandt andet i Android-styresystemet, som kører Linux-kernen. Og så kører adskillige andre enheder - som f.eks. routere - som bekendt også Linux, og de bliver ikke nødvendigvis opdateret sådan lige med det samme - hvis nogensinde.
I den forbindelse så skulle kode, der udnytter fejlen, ifølge The Register blive anvendt in-the-wild - altså i den virkelige verden - til at opnå administrative rettigheder på enheder med internetadgang.
PoC
Der ligger et ikke-fuldstændigt proof-of-concept i forhold til sårbarheden på GitHub.
Linux-boss Linus Torvald indrømmede tidligere på ugen, at han uden held havde forsøgt at fikse problemet for 11 år siden. Og så lod han det ligge, fordi det dengang var vanskeligere at udnytte sårbarheden på daværende tidspunkt.
Siden da har design-ændringer i Linux-kernen betydet, at fejlen i dag er nemmere at udnytte i ondsindet sammenhæng.
Ifølge et web-site om Dirty Cow-sårbarheden, er der udviklet en patch, som skulle være frigivet til store Linux-distributioner som Red Hat, Debian og Ubuntu.
Men som nævnt, og som The Register bemærker, findes Linux jo i et utal af enheder verden over, der er på internettet, og som ikke nødvendigvis lige får en opdatering.
Læs hele artiklen hos The Register, hvor der også er en nærmere gennemgang af, hvad problemet med copy-on-write-implementeringen nærmere bestemt bunder i.