Resumen:
Recientemente ocurrió un incidente de seguridad que causó preocupación generalizada en la comunidad de desarrollo del kernel de Linux. Múltiples informes de vulnerabilidad del kernel de Linux sin parches que los investigadores de seguridad deberían haber enviado a través de canales privados se enviaron a la lista de correo pública del kernel de Linux (LKML) debido a errores operativos, lo que resultó en la exposición temprana de información de vulnerabilidad relevante.
Cuando ocurrió el incidente, la versión estable de Linux 7.3 acababa de ser lanzada y la versión Linux 7.4 aún estaba en la etapa de desarrollo de funciones. Esta filtración no tiene nada que ver con el incidente anterior de vulnerabilidad de PHP que provocó que una gran cantidad de administradores de sitios web actualizaran urgentemente, pero también causó una gran conmoción en la comunidad de seguridad de código abierto.
Según los informes, la Iniciativa de Día Cero (ZDI) de Trend Micro presentó varios informes relacionados con fallas de seguridad del kernel de Linux. Se suponía que la información se enviaría a una lista de correo privada dedicada a cuestiones de seguridad para que los desarrolladores pudieran solucionar la vulnerabilidad antes de que se hiciera pública. Sin embargo, el correo electrónico relevante se envió por error a la lista de correo pública del kernel de Linux, lo que permitió a todos los suscriptores ver los detalles de la vulnerabilidad.
Después de que se expuso el incidente, Greg Kroah-Hartman, jefe de mantenimiento de la versión estable del kernel de Linux, expresó públicamente su insatisfacción e instó a los investigadores de seguridad a mejorar el proceso de envío de vulnerabilidades y evitar publicar problemas de seguridad no solucionados directamente en canales públicos. Otros desarrolladores y miembros de la comunidad en la lista de correo también expresaron críticas y preocupación por el lapso.
Esta revelación inesperada involucra al menos seis vulnerabilidades que aún no han sido reparadas. Dos de ellas son vulnerabilidades de ejecución remota de código de alto riesgo y ambas recibieron puntuaciones CVSS 9.0. Existe una vulnerabilidad en la implementación de SMB Direct, causada por un problema de subdesbordamiento de enteros, que podría permitir a un atacante lograr la ejecución remota de código. Otra vulnerabilidad está relacionada con una condición de carrera en el componente KSMBD, que también puede provocar la ejecución remota de código malicioso.
Además, existen múltiples vulnerabilidades que pueden provocar una escalada de privilegios o la divulgación de información. Por ejemplo, la implementación de skb_zerocopy en el subsistema de red tiene fallas de seguridad y puede usarse para escalar privilegios locales; hay un problema de escritura fuera de límites en el controlador de gráficos VMWGFX VMware, que también puede provocar una escalada de privilegios locales; El código relacionado con NVMET tiene un problema con los recursos no inicializados, lo que puede provocar la filtración de información confidencial.
Además, una vulnerabilidad que se envió previamente a la lista de correo implica un problema de desbordamiento del búfer de pila durante el procesamiento de consultas TCP y también puede explotarse para lograr una escalada de privilegios local.
Algunas vulnerabilidades están en proceso de ser solucionadas. Entre ellos, originalmente se planeó fusionar los parches relacionados con SMB Direct durante el ciclo de desarrollo de Linux 7.5. Después de esta exposición temprana, los desarrolladores pueden acelerar el progreso de reparación y lanzamiento. Anteriormente se informó al equipo de seguridad del kernel sobre otra vulnerabilidad del subsistema de red a través de otros canales, y se espera que el parche correspondiente se publique en un futuro próximo.
Los expertos de la industria señalan que revelar los detalles de las vulnerabilidades por adelantado a menudo aumenta los riesgos. En los últimos años, los atacantes han utilizado cada vez más herramientas automatizadas, técnicas de ingeniería inversa y análisis asistidos por inteligencia artificial para encontrar y explotar vulnerabilidades de software. Antes de que un parche se implemente ampliamente, exponer públicamente la información sobre la vulnerabilidad puede acortar la ventana para que los atacantes desarrollen código de explotación.
Actualmente, el equipo de desarrollo del kernel de Linux está avanzando en correcciones de vulnerabilidades relacionadas, y el impacto real de este error de envío de correo electrónico aún está por observarse. El incidente también resalta una vez más la importancia del proceso de divulgación de vulnerabilidades de seguridad y la necesidad de proteger adecuadamente la información técnica confidencial antes de que se publiquen los parches.
Comentarios