CVE-2025-27512

Zincati, Fedora CoreOS ana makineleri için bir otomatik güncelleme aracıdır. Zincati, `zincati` sistem kullanıcısının `org.projectatomic.rpmostree1.deploy` eylemlerini kullanarak sisteme güncellemeler dağıtmasına ve `org.projectatomic.rpmostree1.finalize-deployment` eylemini kullanarak sistemi dağıtılan güncellemeye yeniden başlatmasına izin veren bir polkit kuralı içerir. Zincati v0.0.24 sürümünden itibaren bu polkit kuralı, bu polkit eylemlerine erişimi yalnızca `zincati` sistem kullanıcısı yerine herhangi bir ayrıcalıksız kullanıcıya genişleten bir mantık hatası içermektedir. Pratikte bu, sistem D-Bus soketine erişimi olan herhangi bir ayrıcalıksız kullanıcının daha eski Fedora CoreOS sürümlerini (başka bilinen güvenlik açıklarına sahip olabilecek) dağıtabildiği anlamına gelir. rpm-ostree'nin seçilen sürümün sistemin şu anda bulunduğu dalla aynı olmasını zorunlu kıldığını unutmayın; bu nedenle bu doğrudan saldırgan tarafından kontrol edilen bir güncelleme yükünü dağıtmak için kullanılamaz. Bu durum öncelikle sistem D-Bus soketine erişimi olan güvenilmeyen iş yüklerini çalıştıran kullanıcıları etkiler. Genel olarak, güvenilmeyen iş yüklerine konteynerleştirilmiş olsun ya da olmasın bu erişimin verilmemesi gerektiğini unutmayın. Varsayılan olarak konteynerler sistem D-Bus soketine erişime sahip değildir. Mantık hatası Zincati v0.0.30 sürümünde düzeltilmiştir. Bir geçici çözüm, talimatları GitHub Security Advisory'de bulunan aşağıdaki polkit kuralını manuel olarak eklemektir.