Questa settimana discuteremo di una vulnerabilità ad alta gravità nel kernel Linux, di una vulnerabilità del server LDAP per Linux e di un zero-day in un popolare framework Java.
Escalation dei privilegi locali nel kernel Linux
È stato riscontrato un overflow del buffer heap nel codice di trasformazione IPsec ESP in net/ipv4/esp4.c e net/ipv6/esp6.c. Secondo NVD, questa falla consente a un aggressore locale con privilegi utente di sovrascrivere gli oggetti heap del kernel e potenzialmente di causare un'escalation di privilegi locale. La vulnerabilità è numerata CVE-2022-27666 con un punteggio di base CVSS pari a 7,8. L'exploit per la vulnerabilità sembra essere disponibile su GitHub e afferma di poter ottenere l'escalation dei privilegi locali sull'ultima versione di Ubuntu Desktop 21.10. La correzione di questa vulnerabilità è stata applicata recentemente ai kernel upstream >= 5.10 LTS.
Causa principale - Il ricercatore di sicurezza dietro l'exploit, Xiaochen Zou aka @ETenal7, afferma che "la vulnerabilità è stata introdotta nel 2017, dal commit cac2661c53f3 e dal commit 03e2a30f6a27. La logica di base di questa vulnerabilità è che il buffer di ricezione di un messaggio utente nel modulo esp6 è un buffer di 8 pagine, ma il mittente può inviare un messaggio più grande di 8 pagine, il che crea chiaramente un buffer overflow."
Lo sfruttamento di questa vulnerabilità incorpora varie tecniche interessanti come l'heap feng shui, che consiste nella manipolazione selettiva della disposizione dello spazio di memoria dell'heap, simile a un'attenta disposizione delle entità nello spazio nel sistema cinese del feng shui.
Autenticazione non corretta in Directory Server
389 Directory Server è un server LDAP open source per Linux. È stata riscontrata una vulnerabilità in 389 Directory Server che consente alle password scadute di accedere al database per causare un'autenticazione impropria. La vulnerabilità è numerata CVE-2022-0996 e classificata CVSS 7.5 High.
Sebbene non siano disponibili molte informazioni su questa vulnerabilità, l'aggiornamento può essere installato con il gestore di pacchetti "dnf". Utilizzate su -c 'dnf upgrade -advisory FEDORA-2022-2558f14c58' alla riga di comando. Per ulteriori informazioni, consultare la documentazione di dnf.
Secondo il ricercatore dietro il proof-of-concept: "Nei miei test ho un solo ACI nel database che consente l'accesso a qualsiasi utente "autenticato". Dopo l'errore 49 (password scaduta) la connessione dovrebbe essere considerata "anonima", ma sembra che sia ancora vista come "autenticata" per quanto riguarda il controllo degli accessi (ACI)".
Esecuzione di codice remoto critica in un giorno zero in Spring Core
Spring Framework è un framework applicativo e un contenitore di inversione di controllo per la piattaforma Java. Le caratteristiche principali del framework possono essere utilizzate da qualsiasi applicazione Java, ma esistono estensioni per la creazione di applicazioni web sulla piattaforma Java EE. L'applicazione Spring WebFlux in esecuzione su JDK 9+ è vulnerabile all'esecuzione di codice remoto (RCE) ed è numerata CVE-2022-22965.
Il CVE è classificato come critico e diverse risorse di sicurezza affidabili come LunaSec e Rapid7 hanno confermato la presenza della vulnerabilità. A causa dell'ampia base di clienti del framework, la vulnerabilità è stata paragonata e denominata in modo simile alla famigerata log4shell, questa volta con il nome di spring4shell.
Sebbene l'impatto della vulnerabilità sia certamente elevato, poiché una volta sfruttata può consentire l'esecuzione di codice arbitrario, ci sono alcuni requisiti perché un'implementazione sia sfruttabile. Per questo motivo alcuni ricercatori di sicurezza sostengono che la vulnerabilità, pur essendo di gravità elevata, non raggiunge gli stessi livelli di difficoltà di log4shell. Alcuni di questi requisiti sono anche rischi per la sicurezza documentati nella documentazione di Spring, come l'uso della proprietà allowfields nel databinder.
Altri requisiti sono l'utilizzo del framework con Tomcat in una distribuzione WAR e Spring Bean abilitato. Detto questo, poiché si tratta di un incidente in continua evoluzione, potrebbero essere possibili diversi percorsi di attacco e pertanto si consiglia ai clienti interessati dalla vulnerabilità di eseguire un'analisi approfondita dell'implementazione prima di eseguire qualsiasi azione per accettare/mitigare il rischio di sicurezza. Il post sul blog di LunaSec fornisce una spiegazione approfondita della vulnerabilità e può essere una risorsa utile per ottenere maggiori informazioni e potenziali strategie di mitigazione.
Sono ora disponibili le patch per Spring4Shell nelle versioni 5.3.18 e 5.2.20 di Spring.
Commenti