Nuevas evasiones de seguridad de Ubuntu Linux requieren mitigaciones manuales

AXCESS · Marzo 30, 2025, 08:30:43 PM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Se han descubierto tres evasiones de seguridad en las restricciones de espacios de nombres de usuarios sin privilegios de Ubuntu Linux. Estas evasiones podrían permitir que un atacante local aproveche vulnerabilidades en los componentes del kernel.

Estos problemas permiten a usuarios locales sin privilegios crear espacios de nombres con plena capacidad administrativa y afectan a las versiones de Ubuntu 23.10, donde las restricciones de espacios de nombres de usuarios sin privilegios están habilitadas, y a la 24.04, que las tiene activas por defecto.

Los espacios de nombres de usuarios de Linux permiten a los usuarios actuar como root dentro de un espacio de nombres aislado sin tener los mismos privilegios en el host.

Ubuntu añadió restricciones basadas en AppArmor en la versión 23.10 y las habilitó por defecto en la 24.04 para limitar el riesgo de uso indebido de los espacios de nombres.

Investigadores de la empresa de seguridad y cumplimiento normativo en la nube Qualys descubrieron que estas restricciones se pueden evadir de tres maneras diferentes.

"Qualys TRU descubrió tres métodos distintos para eludir estas restricciones de espacio de nombres, cada uno de los cuales permite a los atacantes locales crear espacios de nombres de usuario con plenas capacidades administrativas", afirman los investigadores.

"Estos métodos para eludir facilitan la explotación de vulnerabilidades en componentes del kernel que requieren privilegios administrativos importantes en un entorno confinado" - Qualys

Los investigadores señalan que estos métodos para eludir son peligrosos cuando se combinan con vulnerabilidades relacionadas con el kernel, y no son suficientes para obtener el control total del sistema.

Qualys proporciona detalles técnicos de los tres métodos para eludir, que se resumen a continuación:

Bypass mediante aa-exec: Los usuarios pueden explotar la herramienta aa-exec, que permite ejecutar programas con perfiles específicos de AppArmor. Algunos de estos perfiles, como Trinity, Chrome o Flatpak, están configurados para permitir la creación de espacios de nombres de usuario con plenas capacidades. Al usar el comando unshare a través de aa-exec en uno de estos perfiles permisivos, un usuario sin privilegios puede eludir las restricciones del espacio de nombres y aumentar sus privilegios dentro de él.

Bypass mediante busybox: El shell de busybox, instalado por defecto tanto en Ubuntu Server como en Ubuntu Desktop, está asociado a un perfil de AppArmor que también permite la creación sin restricciones de espacios de nombres de usuario. Un atacante puede ejecutar un shell mediante busybox y usarlo para ejecutar unshare, creando así un espacio de nombres de usuario con plenas capacidades administrativas.

Bypass mediante LD_PRELOAD: Esta técnica aprovecha la variable de entorno LD_PRELOAD del enlazador dinámico para inyectar una biblioteca compartida personalizada en un proceso de confianza. Al inyectar un shell en un programa como Nautilus (que tiene un perfil de AppArmor permisivo), un atacante puede ejecutar un espacio de nombres privilegiado desde ese proceso, eludiendo las restricciones previstas.

Qualys notificó sus hallazgos al equipo de seguridad de Ubuntu el 15 de enero y acordó una publicación coordinada. Sin embargo, el bypass de busybox fue descubierto de forma independiente por el investigador de vulnerabilidades Roddux, quien publicó los detalles el 21 de marzo.

Respuesta y mitigaciones de Canonical

Canonical, la organización detrás de Ubuntu Linux, ha reconocido los hallazgos de Qualys y ha confirmado que están desarrollando mejoras para las protecciones de AppArmor.

Un portavoz nos indicó que no están considerando estos hallazgos como vulnerabilidades en sí, sino como limitaciones de un mecanismo de defensa en profundidad. Por lo tanto, las protecciones se lanzarán según los calendarios de lanzamiento estándar y no como correcciones de seguridad urgentes.

En un boletín publicado en el foro de discusión oficial (Ubuntu Discourse), la compañía compartió las siguientes medidas de refuerzo que los administradores deberían considerar:

Habilitar kernel.apparmor_restrict_unprivileged_unconfined=1 para bloquear el abuso de aa-exec (no habilitado por defecto).

Deshabilitar los perfiles amplios de AppArmor para busybox y Nautilus, que permiten la creación de espacios de nombres.
Opcionalmente, aplicar un perfil bwrap de AppArmor más estricto para aplicaciones como Nautilus que dependen de espacios de nombres de usuario. Utilice aa-status para identificar y deshabilitar otros perfiles de riesgo.

Fuente:
BleepingComputer
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Nuevas evasiones de seguridad de Ubuntu Linux requieren mitigaciones manuales

AXCESS

Marzo 30, 2025, 08:30:43 PM