Descubierto un desagradable agujero de seguridad en el netfilter del firewall de Linux [ENG]

Detrás de casi todas las herramientas de cortafuegos de Linux, como iptables; su versión más reciente, nftables; firewalld; y ufw, está netfilter, que controla el acceso a y desde la pila de red de Linux. Es un programa de seguridad esencial para Linux, así que cuando se encuentra un agujero de seguridad en él, es un gran problema. Este es un error grave. Específicamente, es un problema de escritura fuera de los límites del heap con el filtro de red del kernel. Es "explotable para lograr la ejecución de código del kernel.

[#3 Jesulisto]

Mientras solo puedan explotarlo usuarios locales, siendo chungo, no me asusta mucho, la mayoria de los Linux que tengo son servidores web o de correo donde solo hay conexiones locales para mantenimiento y me imagino que habrá muchísimos sistemas así.

[#7 Desactivado]

#3 Siendo cierto lo que has dicho, igualmente te has de asegurar de tener los servicios que sirven esas webs actualizados porque ellos a su ves estan usando un usuario local.

[#8 Jesulisto]

#7 Ahora que lo dices, pues es cierto.

[#13 albandy]

#8 #7
Por eso siempre es bueno tener dos WAF de diferente tecnologia delante de los reverse proxy, a nosotros nos obliga el CNI

[#15 Desactivado]

#13 Yo tengo eso en algun setup y es increible la cantidad de cosas que podrian haberse colado porque uno lo pilla y el otro no.

[#16 albandy]

#15 Yo hago pruebas a veces metiendo un nessus atacando al segundo WAF y luego lo mismo atacando directamente desde fuera y hay diferencia, lo bueno es que al ir haciendo estas pruebas puedes corregir vulnerabilidades de forma preventiva antes incluso de que salga el parche (añadiendo reglas específicas para ese fallo por ejemplo).

[#21 chavi]

#13 Y un sandbox para los servicios web no está de más....

[#26 albandy]

#21 Y el reverse con el modsecurity con las reglas de owasp

[#31 BodyOfCrime]

#26 Como mola cuando dos usuarios dicen palabras al azar y parecen que saben de lo que hablan, pero en realidad solo se están quedando con todo el personal.

[#19 chavi]

#3 Cualquier fallo en una web puede llevar a una escalada de privilegios que comprometa todo el sistema. Es muy chungo.

[#11 Sinfonico]

En Ubuntu se parcheó ayer mismo, osea que ya no hay noticia.

[#12 Jesulisto]

#11 ¿Y en Debian?

[#17 Desactivado]

#12 aunque la noticia dice que afecta a bullseye no es así, al menos no si la tienes al día.

"This vulnerability is present in the Linux kernel versions 5.4 through 5.6.10."

$ cat /etc/debian_version
11.2

$ uname -r
5.10.0-8-amd64

y por debajo llevan kernels 4.*

[#20 Jesulisto]

#17 Gracias, es que me pilló fuera, ahora reviso aunque lo que más tengo ahora son Proxmox que creo que tienen una compilación de kernel diferente a la estandar de Debian, a ver que averiguo por ahí.

[#24 Desactivado]

#20 parece que proxmox sí está afectado

$ uname -r
5.4.124-1-pve

¿pero qué acceso tienen tus usuarios a esos pve?

[#25 Jesulisto]

#24 Yo actualizé anoche y tengo 5.4.174-2-pve según este hilo está todo parcheado.

[#27 Desactivado]

#25 pues toca actualizar varias plataformas.

[#14 pedrobz]

#11 Si que hay noticia, los bugs de seguridad se descubren tiempo antes y se avisa al desarrollador para que con tiempo desarrolle un parche, una vez creado el parche ya se puede difundir el bug y hacerlo noticia para que todos sepan que hay que actualizarse lo antes posible.

[#34 Desactivado]

#11 Seguro que con los bugs en Windows tienes el mismo criterio.

[#35 Sinfonico]

#34 Es que resulta que Ubuntu es gratis, igual no hay comparación, pero cada uno se consuela como quiere

[#36 Desactivado]

#35 Por lo tanto mi comentario es cierto.

[#2 TardisKun]

Afecta al kernel 5.4 hasta el 5.6.10.

https://nvd.nist.gov/vuln/detail/CVE-2022-25636

Edito: el resumen es que permite a un usuario subir privilegios.

[#6 Desactivado]

#2 Laughs in 5.16.14-1

[#18 chavi]

#2 Debian Stable es 5.10

[#28 sillycon]

#18 No sé qué puse lo último... Uname... 5.14.18

Últimamente están saliendo vulnerabilidades preocupantes pero las dos últimas tienen una vida muy corta (Dirtypipe y esta)

[#30 TardisKun]

#18 Efectivamente. Bullseye está en 5.10.103, al menos en la versión de RaspberryPIOS

[#4 DaniTC]

¿Hay bugs agradables?

[#5 Mariete]

#4 Peluditos y con ojos de gato de shreck.... entre 6 y 8 ojos pero así de monos....

[#9 rubentotal]

#4 Estás pensando en bugs cuando deberías estar pensando en agujeros agradables

[#10 DaniTC]

#9 qué viciosillo eres

[#22 Desactivado]

#9 sudo apt-get install glory-hole

[#23 MétodoCientífico]

#4 los hay hasta que son features

[#29 Desactivado]

#4 Sí, aquellos que te permiten a ti atacar a tu competencia pero que tú tienes parcheados

[#32 blb]

#4 Si, este es uno que te llama nombres como gafotas, gorda, barrigudo ... uno muy desagradable

Y hasta huele mal

[#1 Desactivado]

Cagada...

[#33 hablador_pasivo]

No he leido la noticia completa, pero... otro problema de seguridad de memoria? A ver si dejan de usar C de una vez.