Omarchy açığı: her kullanıcı süreci parola olmadan root yetkisi alabiliyordu

Geliştiriciler için hazırlanan Arch tabanlı Linux dağıtımı Omarchy, varsayılan yapılandırmasında kullanıcının masaüstü oturumunda çalışan neredeyse her programın root yetkisi almasına izin veriyordu — parola, sudo ya da yetki istemi olmadan. Güvenlik araştırmacısı 0xCC sorunu projenin sorumlu açıklama süreciyle bildirdi ve ayrıntıları yapılandırma yamalandıktan sonra 28 Ağustos'ta yayımladı. Düzeltme Omarchy 4.0.1 sürümünde geliyor.

Sorun: varsayılan olarak docker grubu

Dağıtım, varsayılan kullanıcıyı Linux docker grubuna ekliyordu; bu da hesabın sudo yazmadan Docker komutları çalıştırmasını sağlar. Arch'ta Docker servisi root olarak çalışır ve /var/run/docker.sock soketini dinler. docker grubunun üyeleri bu soketle konuşabilir ve Docker'ın kendi belgeleri grubun kullanıcıya root düzeyinde ayrıcalık tanıdığı konusunda uyarır.

Sokete erişimi olan bir süreç, root olarak çalışan servisten bir kapsayıcıyı root yetkisiyle başlatmasını, ana makine dosya sisteminin istenen bölümlerini bu kapsayıcıya bağlamasını, o dosyalar üzerinde root olarak işlem yapmasını ve kod çalıştırmasını isteyebilir. Kavram kanıtı kısa: etkilenen yeni bir kurulumda cat /etc/shadow "Permission denied" döner, buna karşılık docker run --rm -v /:/hostroot alpine cat /hostroot/etc/shadow shadow dosyasının içeriğini yazdırır — komutu sıradan bir kullanıcı süreci başlatır, dosya erişimini ise root olarak çalışan servis yapar.

Kapsam: oturumun tamamı

Linux'ta ek gruplar alt süreçlere miras kalır, dolayısıyla docker grubu kullanıcının systemd --user örneği altındaki neredeyse her normal süreçte bulunuyordu. Araştırmacı, root alabilecek kod arasında yapay zekâ kodlama ajanlarını ve ajan ortamlarını, tarayıcıları, editörleri ve IDE'leri, npm betiklerini, çeşitli geliştirme araçlarını ve arka plan süreçlerini sayıyor. Pratikte tek bir sıradan uygulamanın ele geçirilmesi, makinenin tümüyle ele geçirilmesine dönüşebilirdi.

Yapılandırma opt-in değil opt-out niteliğindeydi: kullanıcı Docker'ı kullanmak zorunda değildi, ancak ödün varsayılan hesaba uygulandı ve açıklanmadı. Omarchy'nin geliştirme araçları belgeleri "Docker'ı root olarak değil normal kullanıcı olarak çalıştırmak için gereken kullanıcı grubu değişikliklerinden" söz ediyordu — bir okuyucunun rootless bir kurulum sanabileceği bir ifade; oysa durum öyle değildi.

Zaman çizelgesi, düzeltme ve alternatif

docker grubu üyeliği 1 Haziran 2025'te eklendi, ertesi gün geçici olarak devre dışı bırakıldı, 17 Haziran 2025'te yeniden etkinleştirildi ve son olarak 24 Ağustos 2026'da varsayılan yapılandırmadan çıkarıldı. 4.0.1 öncesi sürümler etkileniyor; araştırmacı 3.x serisinin son ISO'sunu (3.8.4) de test edip davranışı orada da doğruladı.

Kapsayıcıları root yetkisi vermeden kullanmak isteyenler için yazı Podman'ı öneriyor: servis gerektirmez ve kapsayıcılar kendi kullanıcı ad alanlarında sıradan alt süreçler olarak çalışır. Araştırmacı, yanıt hızının kendisini etkilediğini belirtti; ancak bunun Omarchy'de karşılaştığı ilk güvenlik sorunu olmadığını ve şu anda projenin karar alma sürecine güvenmediğini ekledi.