Soporte técnico
Documentación
Inicio de sesión
Póngase en contacto con nosotros
La técnica de explotación crítica SLUBStick amenaza la seguridad de Linux
Rohan Timalsina
22 de agosto de 2024 - Equipo de expertos TuxCare
Ha surgido un nuevo y altamente efectivo ataque cruzado de caché llamado SLUBStick, dirigido al kernel de Linux con una notable tasa de éxito del 99% en la transformación de una vulnerabilidad de montón limitada en una capacidad de lectura y escritura de memoria arbitraria. Esto permite a los atacantes elevar privilegios o incluso escapar de entornos en contenedores, lo que plantea riesgos significativos para los sistemas Linux.
Funciona engañando al kernel para que reutilice la memoria de una manera específica, dando a los atacantes un control total sobre el sistema. Los investigadores han probado SLUBStick en múltiples versiones de Linux y han descubierto que es muy eficaz, incluso cuando el kernel cuenta con las últimas protecciones de seguridad.
Descubrimiento e impacto
El ataque SLUBStick fue descubierto por un equipo de investigadores de la Universidad Tecnológica de Graz. Demostraron el ataque en las versiones 5.9 y 6.2 del kernel de Linux, incluidas las últimas versiones, mostrando su versatilidad en sistemas de 32 y 64 bits.
Aprovechando nueve Vulnerabilidades y Exposiciones Comunes (CVES) existentes, los investigadores pudieron demostrar que funciona eficazmente incluso con las defensas modernas del kernel activadas, como la Prevención de Ejecución en Modo Supervisor (SMEP), la Prevención de Acceso en Modo Supervisor (SMAP) y la Aleatorización del Diseño del Espacio de Direcciones del Kernel (KALSR).
Los investigadores también planean presentar sus hallazgos en detalle en el próximo Simposio de Seguridad Usenix, donde demostrarán la escalada de privilegios y el espacio de contenedores utilizando los últimos kernels Linux con todas las defensas activas.
Detalles técnicos de SLUBStick
Los sistemas de gestión de memoria del kernel de Linux implican asignar y desasignar trozos de memoria, conocidos como "slabs", para diversas estructuras de datos. Aunque este proceso se ha diseñado para ser seguro, pueden producirse fallos que den lugar a una posible explotación mediante ataques cruzados a la memoria caché. Tradicionalmente, estos ataques sólo han sido efectivos en torno al 40% de las ocasiones y suelen provocar caídas del sistema.
SLUBStick, sin embargo, aprovecha una vulnerabilidad de la pila -como una escritura doblemente libre, de uso después de libre o fuera de los límites- para manipular el proceso de asignación de memoria. El ataque emplea un canal secundario de temporización para determinar el momento exacto de la asignación y desasignación de trozos de memoria. Esta información temporal permite al atacante predecir y controlar la reutilización de la memoria, lo que aumenta drásticamente la tasa de éxito del ataque a la caché cruzada hasta el 99%.
El proceso consta de tres pasos fundamentales:
- Liberar determinados trozos de memoria y esperar a que el kernel los reutilice.
- Reasignar estos trozos de forma controlada, garantizando su reutilización para estructuras de datos críticas como las tablas de páginas.
- Sobrescribir las entradas de la tabla de páginas, otorgando al atacante la capacidad de leer y escribir en cualquier ubicación de memoria.
Implicaciones en el mundo real
Como la mayoría de los ataques de canal lateral, SLUBStick requiere acceso local a la máquina objetivo con la capacidad de ejecutar código. Además, la presencia de una vulnerabilidad de heap en el kernel de Linux es necesaria para que el ataque tenga éxito.
A pesar de estos requisitos, ofrece importantes ventajas a los atacantes que pueden acceder a la ejecución de código:
- Lograr la escalada de privilegios, potencialmente elevar sus privilegios a root y obtener acceso sin restricciones al sistema.
- Eludir las defensas del kernel que normalmente impedirían tal explotación.
- Realizar escapes de contenedores, salir de entornos aislados y acceder al sistema anfitrión.
- Mantener la persistencia modificando las estructuras del kernel o los ganchos, dificultando a los defensores la detección y eliminación del malware.
Para aquellos interesados en explorar más a fondo esta técnica de explotación, los investigadores han puesto su trabajo a disposición en GitHub, proporcionando un valioso recurso para que los profesionales de la seguridad comprendan y mitiguen la nueva amenaza.
Conclusión
Aunque SLUBStick requiere acceso local y una vulnerabilidad de montón específica, su capacidad para eludir las defensas modernas y lograr altas tasas de éxito lo convierten en un problema crítico para los administradores de Linux. A medida que evolucionan las amenazas, también deben hacerlo nuestras estrategias de defensa. La aplicación de parches en tiempo real ha surgido como una herramienta que cambia las reglas del juego en esta batalla en curso, permitiendo a los administradores aplicar actualizaciones de seguridad críticas sin interrumpir el servicio.
KernelCare Enterprise de TuxCare ofrece parches en vivo automatizados en una amplia gama de distribuciones de Linux, lo que permite la implementación de actualizaciones de seguridad críticas en el núcleo sin necesidad de reiniciar el sistema. Esto garantiza que los sistemas permanezcan seguros y operativos sin interrupciones.
¿Tiene preguntas sobre la protección de sus sistemas Linux con la aplicación automatizada de parches sin reinicio? Nuestros expertos en seguridad Linux estarán encantados de responder a sus preguntas.
Las fuentes de este artículo incluyen un artículo de BleepingComputer.
