Qualys identificó dos fallos de divulgación de información relacionados con los manejadores de core dumps en sistemas Linux. Los errores están catalogados como CVE-2025-5054 y CVE-2025-4598.
Vulnerabilidades afectadas
CVE-2025-5054 afecta a apport en Ubuntu hasta la versión 2.32.0. CVE-2025-4598 impacta a systemd-coredump en Red Hat Enterprise Linux (RHEL) 9/10 y Fedora.
Riesgos de explotación
Un atacante local podría forzar el volcado de memoria de un programa SUID y leer su contenido antes de que se restringieran los permisos del archivo. La lectura permitiría extraer hashes de /etc/shadow, facilitando la elevación de privilegios tras su criptoanálisis.
Impacto potencial
En ambos casos, basta con inyectar cargas que provoquen un crash controlado de un binario SUID para capturar credenciales. Un atacante que descifre el hash de root puede encadenar la falla con técnicas de post-exploitation, logrando un compromiso completo del sistema.
Contexto de riesgo
La explotación requiere acceso local, pero es especialmente crítica en entornos multitenant como servidores compartidos o containers con namespaces. La exposición de hashes facilita ataques de credential stuffing contra servicios donde se reutilicen contraseñas.
Mitigaciones recomendadas
- Aplicar las actualizaciones de apport o systemd según la distribución.
- Deshabilitar temporalmente los core dumps usando ulimit -c 0 o systemd-coredump.conf Storage=none.
- Restringir el uso de binarios SUID innecesarios y auditar su ejecución con auditd.
- Supervisar accesos a /var/lib/apport/ y /var/lib/systemd/coredump/ en busca de lecturas no autorizadas.