Arriva Chronomaly: un PoC per Linux che promette Privilege Escalation su Kernel a 32 bit

Una falla di sicurezza è stata individuata all’interno di Linux, la quale può essere sfruttata in un brevissimo lasso di tempo, tant’è che il kernel comincia subito a operare con la memoria precedentemente rilasciata.

Un esempio funzionante, proof-of-concept, per il CVE-2025-38352 è stato rilasciato su GitHub. Il bug ha un punteggio CVSS di 7,4 che conferma che la vulnerabilità può effettivamente essere sfruttata per aumentare i privilegi.

Ul bug riguarda l’implementazione dei timer CPU POSIX ed è una vulnerabilità di tipo use-after-free nella funzione handle_posix_cpu_timers(). Si manifesta solo nelle configurazioni in cui il flag CONFIG_POSIX_CPU_TIMERS_TASK_WORK è disabilitato.

Questa variante è comune nei kernel Android a 32 bit, mentre sui sistemi a 64 bit viene in genere utilizzata una configurazione diversa e la vulnerabilità non è riproducibile.

Il problema deriva da una condizione di race condition che si verifica quando i timer della CPU POSIX vengono attivati sui cosiddetti task zombie. Se la creazione di un processo zombie, da parte del processo padre e l’eliminazione del timer sono sincronizzati con precisione, il kernel può accedere alla memoria già liberata. Nel peggiore dei casi, questo apre la strada all’escalation dei privilegi o persino all’esecuzione di codice a livello di kernel.

L’exploit, denominato Chronomaly, è stato pubblicato da una ricercatrice di nome Faith, che lavora presso Zellic. Il codice era accompagnato da una serie dettagliata di tre documenti tecnici che illustravano le tecniche di rilevamento, analisi e sfruttamento pratico della vulnerabilità. Si sottolinea in particolare che Chronomaly non richiede la conoscenza anticipata degli offset dei simboli del kernel o degli indirizzi di memoria fissi, il che lo rende più portabile e meno vincolato a una build specifica.

Per catturare in modo affidabile la finestra di gara richiesta, l’exploit richiede un processore multi-core con almeno due CPU. La descrizione fornisce i risultati dei test su QEMU con kernel Linux 5.10.157, e i parametri possono essere adattati a diversi ambienti. Utilizza tecniche per espandere la finestra di gara manipolando i timer della CPU e una strategia per distribuire gli oggetti tra le cache degli allocatori, anche per le strutture sigqueue.

È anche importante che la vulnerabilità sia già stata catalogata come attivamente sfruttata, il che significa che è collegata a casi d’uso reali. Sebbene il rischio principale sia attualmente legato ai dispositivi Android a 32 bit, i componenti interessati sono presenti anche nelle versioni a 32 bit di altri sistemi basati su Linux, quindi non vale la pena attribuire il problema interamente ai “vecchi telefoni”.

La raccomandazione è standard, ma questa volta è particolarmente urgente: aggiornare a un kernel con la correzione o abilitare CONFIG_POSIX_CPU_TIMERS_TASK_WORK, se disponibile nella build. Esiste già una correzione, introdotta nel commit f90fff1e152dedf52b932240ebbd670d83330eca, che blocca l’elaborazione dei timer nelle attività zombie. I produttori di dispositivi e gli amministratori di sistema dovrebbero dare priorità a questi aggiornamenti prima che Chronomaly diventi uno strumento universale per attacchi di massa.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Massimiliano Brolli

Responsabile del RED Team di una grande azienda di Telecomunicazioni e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali che vanno dal ICT Risk Management all’ingegneria del software alla docenza in master universitari.

Aree di competenza: Bug Hunting, Red Team, Cyber Threat Intelligence, Cyber Warfare e Geopolitica, Divulgazione