Given enough eyeballs, all bugs are shallow

Dati abbastanza occhi, tutti i bug sono superficiali

Questa citazione di Eric Raymond fa pensare che, in effetti, non ci siano sufficienti occhi a cercare bug nel Kernel Linux, soprattutto se consideriamo che i tre scoperti e risolti recentemente risalgono al 2006.

In questi giorni il ricercatore Adam Nichols della società GRIMM ha trovato tre grosse vulnerabilità che risiedono nel sottosistema iSCSI del Kernel Linux e che, se usate a dovere, permettono di bucare lo stesso arrivando ad acquisire i privilegi di root.

Unlike most things that we find gathering dust, these bugs turned out to still be good, and one turned out to be usable as a Local Privilege Escalation (LPE) in multiple Linux environments

A differenza di molte cose che troviamo a prendere polvere, questi bug son risultati ancora buoni, ed uno di questi si è dimostrato utilizzabile come LPE [Scalata di Privilegi Locali, bug che permettono di aumentare i permessi dell’utente che li sfrutta, ndt.] in diversi ambienti Linux.

La sensazione è che questi siano stati -involontariamente- introdotti durante gli sviluppi iniziali del modulo iSCSI, sviluppi iniziato oramai ben più di 15 anni fa e, anche in situazioni in cui i device iSCSI non sono presenti ed il modulo vulnerabile è quindi disattivato, essendo comunque presente su quasi tutte le più grandi distribuzioni questo può essere comunque caricato.

Ed è qui che iniziano i problemi. Per come infatti il Kernel gestisce il caricamento dei moduli questo potrebbe essere fatto caricare dall’attaccante stesso. Il Kernel abitualmente carica nuovi moduli in due casi: se viene rilevato nuovo hardware o se una funzione dello stesso Kernel rileva che un modulo è mancante.

The latter implicit autoload case is more likely to be abused and is easily triggered by an attacker, enabling them to increase the attack surface of the kernel

Quest’ultimo autocaricamento implicito è più probabile che venga abusato, ed è facilmente attivabile da un attaccante, che lo può abilitare per incrementare la superficie attaccabile del Kernel

Fortunatamente le patch per tutte queste vulnerabilità sono state rilasciate la settimana scorsa, ed ovviamente sono state anche riportate nelle vecchie versioni del Kernel LTS (Long Term Support) attualmente supportate.

Certo, 15 anni per trovare bug così gravi sono tantini, e questo è il motivo per cui si spera che l’attenzione di questo ultimo periodo sulla sicurezza, oltre ad alcune sponsorizzazioni importanti, permettano di essere più proattivi a riguardo.

Per il momento, non resta che verificare se è presente la versione patchata del Kernel nei repository della nostra distribuzione preferita e, come al solito, aggiornare, aggiornare, aggiornare.

Matteo Cappadonna

Utente Linux/Unix da più di 20 anni, cerco sempre di condividere il mio know-how; occasionalmente, litigo con lo sviluppatore di Postfix e risolvo piccoli bug in GNOME. Adoro tutto ciò che può essere automatizzato e reso dinamico, l’HA e l’universo container. Autore dal 2011, provo a condividere quei piccoli tips&tricks che migliorano il lavoro e la giornata.