Nova vulnerabilidade do kernel do Linux concede privilégios de root aos invasores

O mundo Linux mal se recuperou do fiasco de segurança que envolveu um backdoor baseado nas ferramentas de compressão XZ antes de surgir uma nova vulnerabilidade, desta vez no kernel do Linux: A falha de segurança recém-descoberta pode permitir que terceiros realizem o chamado Local Privilege Escalation (LPE), permitindo que um invasor obtenha privilégios de root e assuma o controle de todo o sistema. A vulnerabilidade é classificada como CVE-2023-6546 no rastreador de bugs da Red Hat e recebeu uma classificação de alta prioridade e gravidade.

De acordo com o site Heise Securityreferências a essa nova vulnerabilidade no kernel do Linux estão circulando há vários dias, mas aparentemente foram relatadas pela primeira vez em 21 de março no blog https://www.jmpeax.dev/The-tale-of-a-GSM-Kernel-LPE.html de um usuário do Linux interessado em segurança cibernética. Em resposta a uma consulta da Heise Security na lista de discussão "oss-security", a vulnerabilidade foi relatada na noite de quinta-feira: Trata-se provavelmente de uma vulnerabilidade não corrigida que afeta todas as versões do kernel, a chamada vulnerabilidade de dia zero.

Os sistemas Linux com o subsistema GSM e a virtualização Xen ativados podem ser visados

No entanto, parece que os invasores só podem obter acesso ao sistema Linux se o subsistema GSM e a virtualização Xen forem usados. Já existem explorações para várias distribuições Linux, de acordo com a Heise Security. A vulnerabilidade pode ser explorada em máquinas virtuais com uma instalação padrão do Debian 12 e do Ubuntu 23.10. No entanto, o Ubuntu 22.04 com o kernel HWE e o Fedora Linux também são afetados, de acordo com relatos de leitores.

Há um patch https://lore.kernel.org/stable/2024041054-asleep-replace-96e8@gregkh/T/#mda4ea41bfc64b2d9ab7bedbaad25144ca6a69cdf para a vulnerabilidade, mas ele pode ser ineficaz. O pesquisador de segurança Kyle Zeng escreve em Openwall (via Linux News) que há duas vulnerabilidades, ou seja, uma das duas vulnerabilidades ainda não foi fechada. Ainda não se sabe como a situação em torno da vulnerabilidade recém-descoberta do kernel do Linux se desenvolverá.