Questo post é stato letto 70 volte!
La Zero Day Initiative di Trend Micro ha reso pubbliche cinque segnalazioni di vulnerabilità del kernel Linux, inviandole alle liste di sicurezza private dei manutentori e, contemporaneamente, alle mailing list pubbliche dei sottosistemi interessati. Questo ha fatto sì che i dettagli delle falle diventassero di dominio pubblico prima che fossero disponibili le relative correzioni nel kernel principale.
Due di queste vulnerabilità, entrambe relative al server SMB integrato nel kernel KSMBD, presentano un punteggio CVSS di 9.0 e potrebbero consentire l'esecuzione remota di codice. Greg Kroah-Hartman, manutentore dei rami stabili del kernel, ha espresso disappunto per la pubblicazione senza patch allegate e sulle liste pubbliche.
La Zero Day Initiative ha difeso il proprio approccio, affermando di aver gestito circa mille casi in dieci anni con la stessa modalità e di non poter sostenere i costi per la scrittura delle patch. Ha inoltre ribadito di pubblicare i dettagli delle vulnerabilità in caso di rifiuto del fornitore o dopo 120 giorni. Non ha fornito spiegazioni sulla copia alle liste pubbliche.
Una delle falle in KSMBD, ZDI-CAN-33549, è un integer underflow che può portare a un overflow dello heap fino a 8 KB. Richiede un'interfaccia di rete con capacità RDMA, una condivisione KSMBD scrivibile e un client che negozi il trasporto SMB Direct. L'altra, ZDI-CAN-33774, è una race condition che non richiede autenticazione e può essere sfruttata se il server ha KSMBD attivo sulla porta 445. Sebbene i report indichino l'esecuzione remota di codice, i proof of concept dimostrano una fuga di memoria e il crash del sistema.
Al momento, nessuna delle due vulnerabilità ha una correzione nel kernel principale. Tuttavia, per ZDI-CAN-33774, il manutentore di KSMBD ha dichiarato che il problema è già risolto nel suo albero di sviluppo. Per ZDI-CAN-33549, esiste una patch in un ramo Git che potrebbe essere accelerata. Nessuna delle due vulnerabilità ha un identificativo CVE, che viene assegnato solo dopo che una correzione è disponibile.
Per chi amministra server Linux, è consigliabile verificare se KSMBD è attivo e, se non necessario, disattivare il modulo, limitare l'accesso alla porta 445 e evitare di abilitare SMB Direct su sistemi senza interfacce RDMA. È importante notare che KSMBD non deve essere confuso con Samba, il server SMB più diffuso, che non è coinvolto in queste vulnerabilità.
Tra le altre segnalazioni, ZDI-CAN-33367 riguarda un'escalation di privilegi locale nello stack di rete, bypassando una precedente correzione. Questo difetto è stato riprodotto fino all'accesso root su diverse distribuzioni Linux.
Questo post é stato letto 70 volte!