Se han comenzado a publicar pruebas de concepto (PoC) que permiten aprovechar una vulnerabilidad crítica en el cargador dinámico de la GNU C Library (GLIBC). La vulnerabilidad está registrada con la identificación CVE-2023-4911.
Características técnicas de la vulnerabilidad
La debilidad se debe a un problema de buffer overflow. Afecta a varias versiones de distribuciones Linux, incluyendo Debian 12 y 13, Ubuntu 22.04 y 23.04, así como Fedora 37 y 38.
Exploit mediante variable de entorno
Los atacantes pueden aprovechar esta vulnerabilidad mediante la utilización de una variable de entorno maliciosa llamada GLIBC_TUNABLES, que es procesada por el cargador dinámico ld.so. Esto les permite ejecutar código arbitrario con privilegios de root al lanzar binarios con permisos SUID.
Pruebas de concepto y confirmación
Desde que el Equipo de Investigación de Amenazas de Qualys reveló esta vulnerabilidad, varios investigadores han publicado código de PoC que funciona en algunas configuraciones del sistema. Uno de estos PoC fue desarrollado por Peter Geissler, conocido como blasty, y ha sido confirmado por Will Dormann, experto en vulnerabilidades y exploits.
Posibles víctimas y desarrollo de exploits
Aunque este exploit puede utilizarse contra un número limitado de objetivos, el PoC también proporciona instrucciones sobre cómo identificar otras posibles víctimas al encontrar la posición adecuada del cargador dinámico ld.so en cada sistema. Otros investigadores están desarrollando y liberando rápidamente sus propios exploits para esta vulnerabilidad en plataformas como GitHub, aunque hasta el momento no se ha podido confirmar la efectividad de estos exploits adicionales.
Acciones recomendadas para los administradores
Los administradores de sistemas deben tomar medidas inmediatas debido a la amenaza significativa que representa esta vulnerabilidad. La capacidad de obtener privilegios de root completa en sistemas que ejecutan las versiones más recientes de distribuciones Linux, como Fedora, Ubuntu y Debian, es un riesgo grave.
Distribuciones no afectadas
Los administradores de Alpine Linux, una distribución que no se ve afectada por esta vulnerabilidad, no necesitan preocuparse por aplicar parches a sus sistemas. Aquellos que utilizan otras distribuciones afectadas deben dar prioridad a la aplicación de parches para proteger la integridad y seguridad de sus sistemas.
Historia de descubrimientos de Qualys
Los investigadores de Qualys han encontrado y divulgado otros graves errores de seguridad en Linux en los últimos años, incluyendo una vulnerabilidad en el componente pkexec de Polkit (apodada PwnKit), una en la capa del sistema de archivos del Kernel (apodada Sequoia), y otra en el programa Unix Sudo (también conocida como Baron Samedit).