Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Blog TuxCareParcheando vulnerabilidades críticas de libarchive en Ubuntu End-of-Life
por Rohan Timalsina
28 de octubre de 2024 - Equipo de expertos TuxCare
Recientemente, se han corregido varias vulnerabilidades de seguridad en libarchive, una biblioteca gratuita y de código abierto ampliamente utilizada para leer y escribir varios formatos de archivos comprimidos. Estas vulnerabilidades podrían permitir a los atacantes explotar los sistemas y provocar una denegación de servicio (DoS) bloqueando las aplicaciones enlazadas con libarchive.
Detalles de las vulnerabilidades de libarchive
CVE-2022-36227 (Puntuación CVSS v3: 9,8 Crítico)
Se ha identificado una vulnerabilidad en libarchive debido a la falta de comprobación del valor de retorno de la función calloc función. En casos de condiciones de falta de memoria o cuando se alcanza el límite de asignación de memoria del sistema, este fallo puede desencadenar una desviación del puntero NULL. La aplicación que depende de libarchive puede bloquearse, lo que puede provocar una denegación de servicio. Sin embargo, es importante tener en cuenta que esta vulnerabilidad sólo puede ser explotada cuando el sistema se encuentra bajo una presión significativa de memoria.
CVE-2024-48957 (Puntuación CVSS v3: 7,8 Alta)
Esta vulnerabilidad de libarchive se produce debido a un acceso fuera de los límites en el archivo execute_filter_audio dentro de la función libarchive/archive_read_support_format_rar.c archivo. Al procesar un archivo RAR malicioso, libarchive puede no validar correctamente los datos, lo que provoca un fallo. Este fallo hace que las aplicaciones que dependen de libarchive sean susceptibles a ataques de denegación de servicio.
CVE-2024-48958 (Puntuación CVSS v3: 7,8 Alta)
De forma similar a CVE-2024-48957, esta vulnerabilidad también tiene su origen en un acceso fuera de los límites, pero se activa en el archivo execute_filter_delta dentro de la misma función archive_read_support_format_rar.c archivo. Al igual que el fallo anterior, este problema surge cuando libarchive procesa un archivo RAR especialmente diseñado, lo que puede provocar el bloqueo de la aplicación y la consiguiente denegación de servicio.
Actualizaciones disponibles y cómo mantenerse seguro
Canonical ha solucionado recientemente estas vulnerabilidades de seguridad publicando actualizaciones para las siguientes versiones de Ubuntu: Ubuntu 24.04 LTS, Ubuntu 22.04 LTS y Ubuntu 20.04 LTS. Además, se han puesto a disposición actualizaciones de seguridad ampliadas para las versiones de Ubuntu más antiguas, al final de su vida útil (EOL ), en el marco del Mantenimiento de Seguridad Ampliado (ESM): Ubuntu 18.04 ESM, Ubuntu 16.04 ESM y Ubuntu 14.04 ESM. También vale la pena señalar que Ubuntu 23.04 EOL (end-of-life) llegó a su fin. Los usuarios de Ubuntu 23.04 deberían considerar actualizarse a una versión soportada como Ubuntu 24.04 LTS para actualizaciones de seguridad continuas.
Para proteger sus sistemas contra estas vulnerabilidades de Ubuntu, es esencial actualizar el paquete libarchive a la última versión disponible en sus repositorios de Ubuntu. Para los usuarios que ejecutan Ubuntu 24.04 LTS, Ubuntu 22.04 LTS o Ubuntu 20.04 LTS, estas actualizaciones se pueden aplicar directamente a través de los repositorios estándar de Ubuntu.
Para los usuarios que todavía dependen de versiones de Ubuntu al final de su vida útil, como Ubuntu 18.04, Ubuntu 16.04 y Ubuntu 14.04, la aplicación de parches de seguridad requiere una suscripción a Ubuntu Pro, que proporciona acceso al mantenimiento de seguridad ampliado a través de ESM.
Una alternativa asequible: Asistencia durante todo el ciclo de vida de TuxCare
Para aquellos que utilizan versiones antiguas de Ubuntu y quieren evitar los costes más elevados de una suscripción a Ubuntu Pro, el servicio Endless Lifecycle Support de TuxCare ofrece una solución rentable. El servicio ELS de TuxCare proporciona parches de seguridad de calidad de proveedor para las versiones EOL de Ubuntu(Ubuntu 16.04 y Ubuntu 18.04), lo que le permite seguir funcionando de forma segura durante todo el tiempo que necesite después de la fecha oficial de EOL. Esto permite a las organizaciones migrar a su propio ritmo, garantizando al mismo tiempo el cumplimiento continuo de las normas de seguridad.
TuxCare también es compatible con otras distribuciones de Linux al final de su vida útil, como CentOS 6, CentOS 7, CentOS 8, CentOS Stream 8, Oracle Linux 6 y Oracle Linux 7.
Fuente: USN-7070-1
