CVE-2026-58092

FreeBSD 15.0 sürümünde, kullanıcı kimlik bilgilerini temsil etmek için kullanılan çekirdek yapısı değişti: önceden birincil grup kimliği (GID), ek grup kimlikleri listesini içeren dizinin ilk öğesinde saklanırken, artık birincil grup kimliği özel bir alanda saklanmaktadır. Bu değişiklik büyük ölçüde çekirdek içiydi ve kullanıcı tarafından görülmüyordu. Bu geçişin bir parçası olarak group_is_primary() fonksiyonu düzgün şekilde güncellenmedi. Bu fonksiyon, kural hedefinin açıkça bir grup belirtmediği durumlarda, bir geçiş kuralı uygulandıktan sonra kimlik bilgisinin birincil grup kimliğini belirlemek için mac_do tarafından kullanılır. Sonuç olarak, belirli mac_do kuralları ile bir kimlik bilgisi değişiminin, birincil grup kimliğini yanlışlıkla orijinal kimlik bilgisinin ek grup dizisinin ilk öğesinde saklanan kimliğe ayarlaması mümkündür. Ek grupların listesi boşsa, bu değer "wheel" grubuna karşılık gelen 0 olacaktır. Örneğin, "uid=1001>uid=1002" gibi bir kural, süreç başlangıçta grup 0'a ait olmasa bile birincil grup kimliğini 0 olarak ayarlamak için kötüye kullanılabilir. Belirli mac_do kuralları, bir sürecin grup kimliğini 0 yapmak için kötüye kullanılabilir. Ancak hatanın tetiklenmesi için kuralın çağırıcıya uygulanması gerekir; örneğin "uid=1001>uid=1002" kural seti verildiğinde, kullanıcının hatayı tetiklemek için 1001 kullanıcı kimliğine sahip olması gerekir. Ayrıca, oturum açmış kullanıcılar genellikle boş olmayan bir ek grup listesine sahiptir; bu durumda hata, en kötü ihtimalle kimlik bilgisinin ilk ek grup kimliğini birincil grup kimliği olarak ayarlamak için kullanılabilir. Birincil grup kimliğini 0 olarak ayarlamak amacıyla bu hatadan yararlanmak için süreçlerin, ayrıcalıklı setgroups(2) sistem çağrısını kullanarak kendilerini tüm ek gruplardan açıkça çıkarmaları gerekir. Grup 0 üyeliği genellikle kontrollü yetki yükseltmeyi etkinleştirmek için kullanıldığından, sistem yapılandırmasına bağlı olarak bu hata root yetkileri elde etmek için daha fazla istismar edilebilir. Örneğin, aşağıdaki gibi bir kural seti, 1001 kullanıcısı olarak çalışan ve boş bir ek grup listesine sahip olan bir süreç tarafından istismar edilebilir: "uid=1001>uid=1002;gid=0>uid=0".