Detrás de casi todas las herramientas de firewalls de Linux como iptables; su versión más nueva, nftables; cortafuegos; y ufw, es netfilter, que controla el acceso hacia y desde la pila de red de Linux. Es un programa de seguridad esencial de Linux, por lo que cuando se encuentra un agujero de seguridad en él, es un gran problema.
Nick Gregory, un investigador de amenazas de Sophos, encontró este agujero recientemente mientras revisaba netfilter en busca de posibles problemas de seguridad. Gregory explica con gran detalle su búsqueda de errores, y lo recomiendo para aquellos que desean obtener información sobre cómo encontrar errores de C. Pero, para aquellos de ustedes que solo quieren ir al grano, esta es la historia.
Este es un error grave. Específicamente, es un problema de escritura fuera de los límites del montón con el filtro de red del núcleo. Gregory dijo que es «explotable para lograr la ejecución del código del kernel (a través de ROP [return-oriented programming]), otorgando una escalada de privilegios locales completa, escape de contenedores, lo que quieras». ¡Qué asco!
Este problema existe porque netfilter no maneja su función de descarga de hardware correctamente. Un atacante local sin privilegios puede usar esto para provocar una denegación de servicio (DoS), ejecutar código arbitrario y provocar un caos general. Para colmo de males, ¡esto funciona incluso si el hardware atacado no tiene funcionalidad de descarga! Esto se debe a que, como escribió Gregory en una lista de seguridad, «a pesar de estar en el código que se ocupa de la descarga de hardware, se puede acceder a esto cuando se apunta a dispositivos de red que no tienen funcionalidad de descarga (por ejemplo, lo) ya que el error se activa antes de que falle la creación de la regla. «
Además: Las mejores distribuciones de Linux para principiantes: ¡Puedes hacer esto!
Esta vulnerabilidad está presente en las versiones del kernel de Linux 5.4 a 5.6.10. Está catalogado como Vulnerabilidades y exposiciones comunes (CVE-2022-25636), y con un puntaje del Sistema de puntuación de vulnerabilidad común (CVSS) de 7.8), este es un verdadero malo.
¿Qué tan mal? En su aviso, Red Hat dijo: «Esta falla permite que un atacante local con una cuenta de usuario en el sistema obtenga acceso a la memoria fuera de los límites, lo que provoca un bloqueo del sistema o una amenaza de escalada de privilegios». Entonces, sí, esto es malo.
Peor aún, afecta a las principales versiones de distribución recientes, como Red Hat Enterprise Linux (RHEL) 8.x; Diana de Debian; Ubuntu Linux y SUSE Linux Enterprise 15.3. Si bien se ha realizado el parche netfilter del kernel de Linux, el parche aún no está disponible en todas las versiones de distribución.
Si aún no tiene un parche, puede mitigar el problema en la familia RHEL con los comandos:
# echo 0 > /proc/sys/user/max_user_namespaces
# sudo sysctl –sistema
Y, en la familia Debian/Ubuntu con el comando:
$ sudo sysctl kernel.unprivileged_userns_clone=0
Así que aquí estamos de nuevo. No he visto una buena hazaña de esto, pero he visto una que funciona aproximadamente la mitad del tiempo. Si no quiere ver sus servidores Linux robados debajo de usted o simplemente eliminados de la red, es hora de parchear su sistema o bloquearlo para evitar problemas.
Ver también
