Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
A Biblioteca C do GNU, também conhecida como glibc, é um componente fundamental dos sistemas operacionais baseados no Linux. Ela oferece funções essenciais de que os programas precisam para funcionar corretamente no seu sistema. A biblioteca glibc existe desde 1992 e é mantida pelo projeto GNU. Uma vulnerabilidade da glibc é uma falha ou ponto fraco nessa biblioteca que pode ser explorada por agentes mal-intencionados para comprometer a segurança do seu sistema. Essas falhas podem se manifestar como estouros de buffer, corrupção de memória, uso após liberação (use-after-free) e outros problemas de software.
Os invasores podem explorar rapidamente essas vulnerabilidades; por isso, é essencial compreender e proteger seus sistemas. Quando uma vulnerabilidade é explorada com sucesso, os invasores passam a ter a capacidade de executar programas maliciosos, roubar dados confidenciais e obter acesso não autorizado ao seu sistema.
Nesta postagem do blog, analisaremos as vulnerabilidades críticas de segurança descobertas na glibc e apresentaremos as melhores práticas e ferramentas para mitigar os riscos potenciais.
Exemplos de vulnerabilidades críticas na glibc
Na glibc até a versão 2.34, a função de compatibilidade obsoleta svcunix_create, no módulo sunrpc, copiava seu argumento de caminho na pilha sem validar seu comprimento. Isso resultou em uma vulnerabilidade de estouro de buffer, podendo levar a uma negação de serviço ou à execução de código arbitrário (caso o protetor de pilha não esteja habilitado).
Na glibc até a versão 2.34, a função de compatibilidade obsoleta clnt_create, no módulo sunrpc, copiava seu argumento de nome de host para a pilha sem realizar uma validação de comprimento adequada. Isso resultou em uma vulnerabilidade de estouro de buffer, podendo levar a uma negação de serviço ou à execução de código arbitrário (caso o protetor de pilha não esteja habilitado).
A função `sprintf` na glibc 2.37 apresenta uma vulnerabilidade de estouro de buffer em algumas situações, mesmo com o tamanho correto do buffer. Esse problema não está relacionado ao CWE-676. A falha ocorre quando se tenta gravar uma representação em string de um número, preenchida com espaços e separada por milhares, em um buffer alocado precisamente para acomodar essa representação em string do número. Por exemplo, em casos como o preenchimento de “1.234.567” até um comprimento de 13 caracteres, ocorre o estouro, excedendo os limites do buffer em dois bytes.
Na Biblioteca C do GNU (glibc) até a versão 2.33, existe uma vulnerabilidade na função `wordexp`. Quando chamada com um padrão criado de forma maliciosa a partir de uma fonte não confiável, essa função pode causar uma falha no sistema ou acesso não autorizado à memória dentro da função `parse_param`, localizada no arquivo `posix/wordexp.c`. Consequentemente, essa falha pode resultar em uma negação de serviço ou na divulgação não autorizada de informações confidenciais.
A função mq_notify nas versões 2.32 e 2.33 da glibc apresentava uma vulnerabilidade do tipo “use-after-free”. Essa vulnerabilidade ocorre quando a função continua a utilizar o objeto de atributos da thread de notificação — fornecido por meio do parâmetro `struct sigevent` — mesmo depois que o chamador já o liberou. Isso pode potencialmente resultar em uma negação de serviço, causando a falha do aplicativo, ou levar a outros impactos adversos não especificados.
Se você está se perguntando como esses riscos podem variar em outras bibliotecas, nosso artigo sobre musl x glibc aborda esse assunto em detalhes.
Vulnerabilidade Zenbleed: uma nova preocupação que vem surgindo
Ao avaliarmos vulnerabilidades como a da glibc, também é importante levar em conta a vulnerabilidade zenbleed, identificada recentemente. Embora essa vulnerabilidade não esteja diretamente ligada à glibc, sua capacidade de afetar a integridade do sistema por meio de estouros de buffer semelhantes e do tratamento inadequado de operações de memória tem gerado grande preocupação entre administradores de Linux e profissionais de segurança. A vulnerabilidade zenbleed serve como um lembrete de que mesmo falhas sutis nas bibliotecas do sistema podem levar a explorações graves se não forem devidamente corrigidas.
Melhores práticas para administradores de Linux contra uma vulnerabilidade na glibc
Atualizações regulares
A melhor defesa contra vulnerabilidades da glibc é manter seu sistema atualizado. As distribuições Linux lançam frequentemente atualizações de segurança e patches para corrigir vulnerabilidades conhecidas; portanto, instale essas atualizações o mais rápido possível.
Monitoramento contínuo
Monitore seus sistemas em busca de atividades suspeitas e audite a atividade dos usuários para verificar os registros e relatórios das ações realizadas em seus sistemas de computador e redes. Isso inclui atividades como logins, acessos a arquivos, alterações na configuração do sistema, conexões de rede e muito mais. Manter-se alerta tanto para explorações no nível do sistema quanto para vulnerabilidades de autenticação é essencial para manter um ambiente seguro, especialmente em ambientes com vários usuários ou corporativos.
Use ferramentas de segurança
Realize varreduras regulares em busca de bibliotecas compartilhadas desatualizadas e vulnerabilidades, a fim de identificar e corrigir possíveis pontos fracos. A TuxCare oferece uma ferramenta gratuita chamada uChecker para detectar bibliotecas vulneráveis utilizadas por diversos aplicativos.
Acesse a página do uChecker no GitHub para saber como verificar se há bibliotecas desatualizadas usando o uChecker.
Gerenciamento de patches
Uma estratégia eficaz de gerenciamento de patches é fundamental para garantir uma segurança robusta por meio da aplicação oportuna de patches. Adiar a instalação de patches críticos pode expor seu sistema a um risco elevado, levando potencialmente à exploração de vulnerabilidades.
Portanto, utilize ferramentas automatizadas de aplicação de patches, como LibCare , que automatizam a aplicação de patches para vulnerabilidades, garantindo que você sempre receba os patches dentro do prazo. Além disso, o LibCare oferece a aplicação de patches em tempo real, permitindo que você implemente patches de segurança sem a necessidade de reinicialização do servidor ou tempo de inatividade.
Serviços de correção dinâmica da TuxCare para empresas
O LibCare é uma ferramenta complementar para KernelCare Enterprise, que oferece serviços corporativos de aplicação de patches em tempo real para a maioria das principais distribuições Linux, incluindo Ubuntu, Debian, RHEL, CentOS, AlmaLinux, Oracle Linux, Cloud Linux e outras.
Com KernelCare e LibCare atuando em conjunto, você pode garantir a máxima proteção dos seus sistemas Linux, incluindo as bibliotecas compartilhadas, como glibc e OpenSSL, que são vulneráveis a ataques.
É fácil começar a usar o LibCare. Basta adicionar o LibCare à sua assinatura atual do KernelCare Enterprise para começar a aplicar patches nas suas bibliotecas compartilhadas.
O grande número de servidores que utilizam sistemas operacionais baseados em Linux torna uma vulnerabilidade na glibc uma preocupação séria. Não comprometa a segurança da glibc nem interrompa suas operações por mais tempo. Com o LibCare da TuxCare, melhore o nível de segurança da sua empresa e desfrute da tranquilidade que vem com a aplicação automatizada e sem interrupções de patches nas bibliotecas.
Para saber mais sobre como o LibCare pode revolucionar a estratégia de segurança da sua empresa, entre em contato com nossos especialistas agora mesmo.
