Clicky

Problema de Kernel Linux de dos años de antigüedad vuelve a aparecer como falla de alto riesgo

Kernel Linux

La vulnerabilidad afecta a distribuciones de Linux, como Red Hat, Debian y CentOS

Un error en el kernel de Linux que fue descubierto hace dos años, pero no fue considerado una amenaza de seguridad en ese momento, ha sido ahora reconocido como un potencial fallo local de escalamiento de privilegios.

Identificado como CVE-2017-1000253, el error fue descubierto inicialmente por el investigador de Google Michael Davidson en abril de 2015.

Dado que no se reconocía como un error grave en ese momento, el parche para esta falla del kernel no fue backportado a distribuciones Linux a largo plazo en el kernel 3.10.77.

Sin embargo, investigadores de Qualys Research Labs han descubierto que esta vulnerabilidad podría explotarse para aumentar los privilegios y afecta a todas las principales distribuciones de Linux, como Red Hat, Debian y CentOS.

La vulnerabilidad afecta a "todas las versiones de CentOS 7 antes de la 1708 (lanzada el 13 de septiembre de 2017), todas las versiones de Red Hat Enterprise Linux 7 antes de la 7.4 (lanzada el 1 de agosto de 2017) y todas las versiones de CentOS 6 y Red Hat Enterprise Linux 6 son explotables", dijo Qualys en un comunicado publicado ayer.

La vulnerabilidad, a la que se le ha asignado un puntaje de base CVSS3 de 7,8 sobre 10, reside en la forma en que el kernel de Linux carga los ejecutables ELF, lo que potencialmente da lugar a daños en la memoria.

Los investigadores descubrieron que un usuario local sin privilegios con acceso a un binario ejecutable independiente de posición (PIE) de SUID (o privilegiado de otro modo) podría utilizar esta vulnerabilidad para escalar sus privilegios en el sistema afectado.

Para mitigar este problema, los usuarios pueden cambiar al diseño de mmap heredado estableciendo vm.legacy_va_layout en 1, lo que efectivamente desactivará la explotación de esta falla de seguridad.

Dado que las asignaciones de mmap comienzan mucho más bajo en el espacio de direcciones de proceso y siguen el modelo de asignación de abajo hacia arriba, "la asignación ejecutable de PIE inicial está lejos del área de la pila reservada y no puede interferir con la pila".

Qualys dice que esta falla no se limita a las PIEs cuyo segmento de lectura y escritura es mayor que 128MB, que es la distancia mínima entre la mmap_base y la dirección más alta de la pila, no la dirección más baja de la pila.

Por lo tanto, al pasar 1,5 GB de cadenas de argumento a execve(), cualquier PIE puede ser asignado directamente debajo de la pila y activar la vulnerabilidad.

Las distribuciones de Linux, incluyendo Red Hat, Debian y CentOS, han publicado actualizaciones de seguridad para abordar la vulnerabilidad.

El equipo de Qualys se ha comprometido a publicar pronto una prueba de concepto del exploit que funciona en las versiones del núcleo de CentOS-7 "3.10.0-514.21.2.el7.x86_64" y "3.10.0-514.26.1.el7.x86_64", una vez que un número máximo de usuarios hayan tenido tiempo de parchear sus sistemas contra la falla.

Jesus_Caceres