Publicados los parches KernelCare para el ataque de capa cruzada

Amit Klein, vicepresidente de investigación de seguridad de SafeBreach e investigador de seguridad de la Universidad Bar-Ilan de Israel, ha descubierto una nueva vulnerabilidad (CVE-2020-16166) en el generador de números pseudoaleatorios (PRNG).

La vulnerabilidad abre la puerta a los ataques de capa cruzada, una nueva técnica de pirateo que plantea un riesgo de envenenamiento de la caché DNS y que puede permitir la identificación y el seguimiento no autorizados de dispositivos Linux y Android.

Ya están disponibles los parches KernelCare para Debian 10, Debian 8, Oracle Linux UEK 5 y 6, Ubuntu 18.04, 20.04. Los parches para RHEL 8 y Oracle Linux UEK 4 se publicarán a principios de la próxima semana.

Contenido:

1. Acerca de CVE-2020-16166, Ataque de capa cruzada

2. Distribuciones Linux afectadas por CVE-2020-16166

3. Respuesta de KernelCare

Acerca de CVE-2020-16166, Ataque de capa cruzada

A partir de la versión 5.7.11 del kernel, los atacantes remotos pueden realizar observaciones sobre el kernel de Linux que permiten al atacante extraer información sensible sobre el estado interno de RNG (generación de números aleatorios) en una red. Se refiere a dos trozos de código del kernel: drivers/char/random.c y kernel/time/timer.c.

CVE-2020-16166 permite a los atacantes montar lo que se denomina un ataque "cross-layer". Este ataque contra el kernel de Linux explota una debilidad específica en la forma en que se gestiona el PRNG (generación de números pseudoaleatorios) en Linux.

El ataque es posible porque, en algunos sistemas Linux, el PRNG defectuoso alimenta tres algoritmos clave de la red:

• Generación del puerto de origen UDP
• Generación de etiquetas de flujo IPv6
• Generación de ID IPv4

Los atacantes comienzan por deducir el estado interno del PRNG en una capa OSI de red específica. A continuación, los atacantes utilizan esta debilidad de seguridad para predecir un valor aleatorio en otra capa OSI. Esta capacidad de predecir valores aleatorios significa que el atacante obtiene la oportunidad de envenenar la caché DNS en algunos sistemas Linux.

Este riesgo de envenenamiento de DNS existe tanto para redes locales como para redes remotas. Sin embargo, el servidor DNS envenenado debe encontrarse fuera de la red objetivo.

Además, la capacidad de hacer inferencias en torno a la generación de números aleatorios dentro de un sistema Linux también puede dar a los atacantes la capacidad de rastrear a los usuarios de dispositivos Android y Linux.

Tenga en cuenta que sólo los sistemas Linux y otros sistemas operativos basados en el núcleo Linux, como Android, son vulnerables a este ataque.

La solución a este vector de ataque es sustituir el actual PRNG de Linux por un algoritmo que ofrezca una generación de números aleatorios más potente. Las nuevas versiones de Linux contienen un PRNG mejorado.

También hay que tener en cuenta que las aplicaciones que utilizan DNS-over-HTTPS bloquearán el ataque, pero sólo si tanto el servidor DNS como el stub resolver son totalmente compatibles con DNS-over-HTTPS. Sin embargo, DNS-over-HTTPS no eliminará el riesgo de rastreo de dispositivos.

Tenga en cuenta que, aunque Debian Linux y CentOS Linux no utilizan cachés DNS, ambas distribuciones de Linux siguen siendo vulnerables a CVE-2020-16166.

Distribuciones Linux afectadas por CVE-2020-16166

Amit Klein, el investigador que descubrió la vulnerabilidad, afirma que los servidores Ubuntu son los más vulnerables. Las características únicas del stub resolver de Ubuntu implican que los atacantes tienen la opción de realizar un ataque DNS especialmente potente dirigido a los servidores Ubuntu.

Esto implica un gran riesgo, según Klein, dado que el 13,4% de los servidores web del mundo funcionan con Ubuntu. Además, otro 3,4% de los servidores web ejecutan una combinación de Ubuntu y un servidor DNS público. Esto satisface las condiciones previas que pueden llevar a la explotación de CVE-2020-16166.

Klein dijo al Daily Swig que cree que las cifras anteriores son una estimación conservadora porque los servidores que utilizan DNS privados (de un ISP, por ejemplo) también están abiertos a un ataque - aunque requerirá más trabajo y más preparación por parte del atacante. Klein dice que no puede predecir la viabilidad de un ataque cuando se utiliza un DNS privado en un servidor Linux vulnerable.

No obstante, Klein advierte de que el envenenamiento de la caché DNS abre la puerta a una amplia gama de problemas de seguridad. Klein enumera algunos de ellos, como el compromiso de la seguridad del correo electrónico, el secuestro del tráfico HTTP y de correo electrónico, así como la posibilidad de eludir la protección antispam y de listas negras.

CVE-2020-16166 también puede permitir a un atacante montar un ataque DoS que sea local (blackhole hosts), comprometer la resolución DNS inversa y montar un ataque al cliente del protocolo de tiempo de red (NTP), una herramienta crítica que mantiene el reloj de un servidor Linux.

Respuesta de KernelCare

Los parches para Debian 10, Debian 8, Oracle Linux UEK 5 y 6, Ubuntu 18.04, 20.04 ya están disponibles y se aplicarán a todos los sistemas con KernelCare instalado en las próximas 4 horas.

Los parches para Oracle Linux UEK4, RHEL8(CentOS 8, CL8, CL7h) se publicarán a principios de la próxima semana.

Tenga en cuenta que los parches de RHEL 7 no será abordado por el proveedor.