La firma de auditoría de seguridad Qualys ha descubierto una nueva vulnerabilidad en el sistema operativo Linux que puede otorgar a los atacantes acceso de root en la mayoría de las distribuciones, como Ubuntu, Debian y Fedora. Bautizada con el nombre de Sequoia e identificada con CVE-2021-33909, la nueva vulnerabilidad sólo de acceso local se descubrió en la capa del sistema de archivos del kernel Linux, el componente del sistema operativo que interactúa y administra los archivos locales.

Sequoia: una vulnerabilidad de escalada de privilegios locales en la capa del sistema de archivos de Linux (CVE-2021-33909)

El equipo de investigación de Qualys ha descubierto una vulnerabilidad de conversión de tipo size_t-to-int en la capa del sistema de archivos del kernel de Linux que afecta a la mayoría de los sistemas operativos de Linux. Cualquier usuario sin privilegios puede obtener privilegios de root en un host vulnerable aprovechando esta vulnerabilidad en una configuración predeterminada.

Acerca del sistema de archivos de Linux

Un sistema de archivos es una organización de datos y metadatos en un dispositivo de almacenamiento. Controla cómo se almacenan y recuperan los datos, y su función más importante es administrar los datos del usuario. La interfaz del sistema de archivos de Linux se implementa como una arquitectura en capas, separando la capa de la interfaz de usuario de la implementación del sistema de archivos y de los controladores que manipulan los dispositivos de almacenamiento. Es la función más importante de cualquier sistema operativo y es ubicua en todos los principales sistemas operativos Linux.

La explotación exitosa de esta vulnerabilidad permite que cualquier usuario sin privilegios obtenga privilegios de root en el host vulnerable. Los investigadores de seguridad de Qualys han podido verificar de forma independiente la vulnerabilidad, desarrollar un exploit y obtener privilegios de root completos en instalaciones predeterminadas de Ubuntu 20.04, Ubuntu 20.10, Ubuntu 21.04, Debian 11 y Fedora 34 Workstation. Es probable que otras distribuciones de Linux sean vulnerables y probablemente explotables.

Sequoia da acceso de root en la mayoría de los sistemas Linux

Según el investigador de seguridad de Qualys, Bharat Jogi, al crear, montar y luego eliminar una estructura de directorio muy larga que tiene una longitud de ruta que excede 1 GB, el error de Sequoia (una lectura fuera de los límites) ocurre en el componente del sistema de archivos del sistema operativo Linux, permitiendo que cualquier cuenta local con pocos privilegios ejecute código con privilegios de root.

“Aprovechamos con éxito esta escritura fuera de límites incontrolada y obtuvimos privilegios de root completos en instalaciones predeterminadas de Ubuntu 20.04, Ubuntu 20.10, Ubuntu 21.04, Debian 11 y Fedora 34 Workstation”, dijo Jogi hoy.

"Es probable que otras distribuciones de Linux sean vulnerables y probablemente explotables".

Varias distribuciones de Linux han publicado parches para abordar este problema después de que Qualys notificara al equipo del kernel de Linux a principios de junio.

La vulnerabilidad no se puede usar para ingresar de forma remota a las distribuciones de Linux, pero una vez que los atacantes tienen un punto de apoyo en cualquier sistema, el error Sequoia se puede usar para secuestrar todo el sistema operativo, convirtiéndolo en una carga útil ideal de segunda etapa.

Dado que la vulnerabilidad afecta a la mayoría de las distribuciones de Linux, se debe esperar que el error de Sequoia se integre en cadenas de exploits dirigidas a dispositivos con Linux como servidores, estaciones de trabajo, infraestructura en la nube, dispositivos de IoT y teléfonos inteligentes.

PoC Proof of Concept Video

Exploit ya disponible para Sequoia (CVE-2021-33909)

• https://github.com/AmIAHuman/CVE-2021-33909

Fuentes:
https://therecord.media/new-sequoia-bug-gives-you-root-access-on-most-linux-systems/

https://blog.qualys.com/vulnerabilities-threat-research/2021/07/20/sequoia-a-local-privilege-escalation-vulnerability-in-linuxs-filesystem-layer-cve-2021-33909