Los investigadores de ciberseguridad han revelado múltiples vulnerabilidades de seguridad en el kernel de Linux Apparmor módulo que usuarios sin privilegios podrían aprovechar para eludir las protecciones del kernel, escalar a root y socavar las garantías de aislamiento de contenedores.
Las nueve vulnerabilidades confusas de los diputados han recibido un nombre en código colectivo. Crack Armor de la Unidad de Investigación de Amenazas (TRU) de Qualys. La empresa de ciberseguridad dijo que el problema existe desde 2017. No se ha asignado ningún identificador CVE a las deficiencias.
AppArmor es un módulo de seguridad de Linux que proporciona un control de acceso obligatorio (MAC) y protege el sistema operativo contra amenazas externas o internas al evitar que se aprovechen los defectos conocidos y desconocidos de las aplicaciones. Se ha incluido en el núcleo principal de Linux desde la versión 2.6.36.
adsense«Este aviso de 'CrackArmor' expone un defecto de diputado confuso permitir a los usuarios sin privilegios manipular los perfiles de seguridad mediante pseudoarchivos, eludir las restricciones del espacio de nombres de usuario y ejecutar código arbitrario dentro del núcleo», dijo Saeed Abbasi, director sénior de Qualys TRU, dijo .
«Estas fallas facilitan el escalamiento de los privilegios locales para rootear mediante interacciones complejas con herramientas como Sudo y Postfix, junto con los ataques de denegación de servicio mediante el agotamiento de la pila y la aleatorización del diseño del espacio de direcciones del núcleo (KASLR) mediante lecturas fuera de los límites».
Vulnerabilidades confusas de se producen cuando un usuario no autorizado obliga a un programa privilegiado a hacer un mal uso de sus privilegios para realizar acciones malintencionadas e imprevistas. Básicamente, el problema explota la confianza asociada a una herramienta con más privilegios para ejecutar un comando que conduce a una escalada de privilegios.
Qualys dijo que una entidad que no tiene permisos para realizar una acción puede manipular los perfiles de AppArmor para deshabilitar las protecciones de servicio críticas o hacer cumplir políticas de denegación de todo, lo que desencadena ataques de denegación de servicio (DoS) en el proceso.
«En combinación con las fallas a nivel del núcleo inherentes al análisis de perfiles, los atacantes eluden las restricciones del espacio de nombres de los usuarios y logran la escalación de privilegios locales (LPE) a la raíz completa», añadió.
«La manipulación de políticas compromete a todo el host, mientras que las omisiones del espacio de nombres facilitan las vulnerabilidades avanzadas del kernel, como la divulgación arbitraria de memoria. Las capacidades de DoS y LPE provocan interrupciones del servicio, la manipulación de credenciales mediante una raíz sin contraseña (por ejemplo, la modificación de /etc/passwd) o la divulgación de KASLR, lo que permite establecer más cadenas de explotación remota».
Para empeorar las cosas, CrackArmor permite a los usuarios sin privilegios crear espacios de nombres de usuario totalmente compatibles, sorteando eficazmente los problemas de Ubuntu restricciones de espacio de nombres de usuario implementados a través de AppArmor, además de subvertir garantías de seguridad críticas como el aislamiento de contenedores, la aplicación de privilegios mínimos y el fortalecimiento de los servicios.
enlacesLa empresa de ciberseguridad dijo que está reteniendo la publicación de exploits de prueba de concepto (PoC) para las fallas identificadas a fin de que los usuarios tengan tiempo de priorizar los parches y minimizar la exposición.
El problema afecta a todos los núcleos de Linux desde la versión 4.11 en cualquier distribución que integre AppArmor. Con más de 12,6 millones de instancias Linux empresariales que funcionan con AppArmor habilitadas de forma predeterminada en varias distribuciones importantes, como Ubuntu, Debian y SUSE, se recomienda aplicar parches inmediatos al núcleo para mitigar estas vulnerabilidades.
«La aplicación inmediata de parches al núcleo sigue siendo la prioridad no negociable para neutralizar estas vulnerabilidades críticas, ya que la mitigación provisional no ofrece el mismo nivel de garantía de seguridad que la restauración de la ruta del código fijada por el proveedor», señaló Abbasi.
Fuentes de Información: THEHACKERNEWS