Linux崩溃报告漏洞（cve -2025- 5054,4598）暴露密码哈希

Qualys详细介绍了影响Apport和systemd-coredump等Linux崩溃报告工具的关键漏洞CVE-2025-5054和CVE-2025-4598。了解如何保护您的Ubuntu、Red Hat和Fedora系统。

Qualys的网络安全专家发现了常见Linux操作系统的两个重大弱点。Qualys与Hackread.com分享的报告显示，这些信息泄露漏洞存在于名为Apport和systemd-coredump的软件工具中，可能允许攻击者从受影响的系统中窃取密码哈希等敏感信息。

了解缺陷

Qualys威胁研究单位（TRU）将这些问题确定为竞争条件漏洞。这意味着攻击者可以利用程序处理数据的短暂时间来获得未经授权的访问。

一个被追踪为CVE-2025-5054的漏洞影响Apport，这是Ubuntu的内置系统，用于报告崩溃。出现此缺陷是因为检测崩溃进程是否被容器中的另一个进程取代的检查发生得太晚了。这可能会导致敏感信息被发送到容器，可能会泄漏。

第二个是CVE-2025-4598，目标是systemd-coredump，这是一个类似的工具，作为Red Hat Enterprise Linux 9和10以及Fedora的默认崩溃处理程序。此漏洞允许攻击者使SUID进程（以特殊权限运行的程序）崩溃，并迅速将其替换为常规程序。

如果攻击者赢得了这场竞赛，那么他们就可以读取原始SUID进程的核心转储，从而获得对其内存中的敏感数据的访问权，例如/etc/shadow文件中的密码散列。

Apport和systemd-coredump设计用于创建核心转储（程序崩溃时的内存快照）。这些转储对于试图修复软件问题的开发人员非常有用。但是，它们也可以包含私有信息，例如密码或加密密钥。通常，对这些文件的访问是受限的，以防止误用。

根据Qualy的博客文章，其TRU已经创建了概念证明（POCs），展示了本地攻击者如何利用这些漏洞。具体来说，他们展示了攻击者如何利用像unix_chkpwd（检查用户密码）这样的崩溃程序从/etc/shadow文件（一个包含用户密码的关键系统文件）窃取密码哈希值。

“利用Apport和system -coredump中的漏洞可能会严重损害机密性，因为攻击者可以从核心转储中提取敏感数据，如密码、加密密钥或客户信息。”

谁会受到影响，如何保护自己

许多Linux系统受到这些新发现的缺陷的影响。对于Apport，自16.04以来的所有Ubuntu版本都是脆弱的，2.33.0版本受到影响，包括最近的Ubuntu 24.04。

相反，对于systemd-coredump， Fedora 40和41以及Red Hat Enterprise Linux 9和新发布的RHEL 10都存在风险。缺省情况下，Debian系统通常是安全的，除非已经手动安装了systemd-coredump。

利用这些漏洞可能导致严重的安全漏洞，冒着敏感数据机密性的风险，并可能导致系统停机或组织声誉受损。

为了帮助保护系统，Qualys建议将/proc/sys/fs/suid_dumpable parameter设置为0。这将禁用以特殊权限运行的程序的核心转储，如果没有立即可用的软件补丁，这可以作为临时修复。Qualys还发布了新的安全扫描id (QID)，如QID 383314，以帮助组织检测这些漏洞。

Jason Soroko是Sectigo（一家位于亚利桑那州Scottsdale的综合证书生命周期管理（CLM）提供商）的高级研究员，他建议将崩溃管理视为安全的数据管道，隔离或禁用转储处理，加密转储，在分类后切碎数据，并加强处理程序控制，以降低风险并领先于未来的威胁。

原文始发于微信公众号（HackSee黑望）：Linux崩溃报告漏洞（cve -2025- 5054,4598）暴露密码哈希