Un nuevo bug en Linux podría afectar a millones de usuarios

La formidable presencia de Linux entre servidores y dispositivos móviles automáticamente colocan a cualquier bug en un nivel de severidad superior al que posee una vulnerabilidad promedio de Windows. Esto nos lleva a CVE-2016-0728, bug que logró mantenerse fuera del radar durante tres años, y que de ser explotado apropiadamente podría brindar acceso root a un atacante, o permitir que una app maliciosa logre escapar de su sandbox en Android KitKat o anterior.

Cuando pensamos en cada servidor funcionando día a día, cada dispositivo móvil basado en Android, y cada sistema integrado como un módem o un router, la idea de un bug en Linux se vuelve mucho más preocupante. Tal vez Linux no termine de llegar a un acuerdo con los ordenadores tradicionales, pero fuera del escritorio, ignorar su relevancia sería una verdadera locura. De más está decirlo, Linux es un blanco muy tentador, y cualquier 0-day podría causar estragos en las manos incorrectas. La gente de Perception Point identificó a uno de esos 0-day, aunque el término parece un poco forzado, porque lleva tres años entre nosotros.

El artículo original (cuyo contenido es de un alto nivel técnico, debo añadir) indica que el bug fue identificado como CVE-2016-0728. Esta falla apareció con la versión 3.8 del kernel Linux, y afecta al llamado «keyring facility» en donde se almacenan claves de cifrado, tokens de autenticación, y otros elementos de seguridad críticos. Los investigadores de Perception Point reportaron la vulnerabilidad a quienes se encargan de mantener al kernel Linux, y al mismo tiempo crearon una prueba de concepto en la que un elemento del keyring almacenado en memoria puede ser reemplazado con código ejecutable por el kernel. Si bien existen tecnologías como ASLR con la capacidad de reducir el impacto del bug y hacer más complicada la creación de un exploit, el riesgo general sigue intacto.

Perception Point reconoce que no ha visto a este bug activo en la Web (ya sea como exploit individual o como parte de un «paquete»), pero destaca que millones de ordenadores y servidores con Linux, además del 66 por ciento de los dispositivos Android, se encuentran afectados. La respuesta de Google fue que ya tienen un parche preparado para enviar a sus socios principales, sin embargo, sus cálculos presentan una cantidad mucho menor de dispositivos perjudicados. Por otro lado, se estima que todas las distros mayores ya recibieron las actualizaciones para eliminar de raíz a este bug. Todos estamos de acuerdo en que Android necesita un modelo de updates más directo, y cada nuevo bug que aparezca servirá como recordatorio.