El renombrado investigador de seguridad Simone Margaritelli (aka @evilsocket) ha identificado una vulnerabilidad de seguridad crítica que afecta a todos los sistemas GNU/Linux (y potencialmente a otros). La vulnerabilidad, que permite la ejecución remota de código (RCE) no autenticado, ha sido reconocida por los principales actores de la industria como Canonical y Red Hat, quienes han confirmado su gravedad con una puntuación CVSS de 9,9 sobre 10.

Sin CVE asignado

Margaritelli reveló la existencia de la vulnerabilidad hace aproximadamente tres semanas, pero ocultó detalles específicos para dar tiempo a los desarrolladores para abordar el problema. A pesar de esto, actualmente no hay ninguna solución funcional disponible. Las discusiones entre el investigador y los desarrolladores han llevado a un cronograma acordado para la divulgación:

• 30 de septiembre: divulgación inicial a la lista de correo de seguridad de Openwall.
• 6 de octubre: divulgación pública completa de los detalles de la vulnerabilidad.

Curiosamente, ha habido un retraso en la asignación de identificadores de vulnerabilidades y exposiciones comunes (CVE) a este problema. Margaritelli sugiere que se deberían asignar al menos tres CVE, posiblemente hasta seis, debido a la naturaleza multifacética de las vulnerabilidades involucradas.

Canonical y Red Hat no sólo han confirmado la alta gravedad de la vulnerabilidad, sino que también están trabajando activamente para evaluar su impacto y desarrollar parches. Sin embargo, se informa que algunos desarrolladores están debatiendo el impacto en la seguridad de ciertos aspectos de las vulnerabilidades, lo que puede estar contribuyendo al retraso en la publicación de una solución.

La falta de información detallada ha dejado tanto a los usuarios individuales como a los expertos en seguridad en un estado de gran preocupación. Sin saber qué componentes, funciones o versiones específicas se ven afectados, las organizaciones no pueden tomar medidas proactivas para proteger sus sistemas.

Además, la ausencia de asignaciones CVE plantea dudas sobre la coordinación y comunicación entre los investigadores de seguridad, los proveedores y las organizaciones responsables de la enumeración de vulnerabilidades.

Si bien una puntuación CVSS de 9,9 indica gravedad crítica, es importante abordar la situación con una perspectiva equilibrada. No todas las vulnerabilidades de alta gravedad se pueden explotar fácilmente en escenarios del mundo real. Por ejemplo:

• CVE-2024-7589: una vulnerabilidad de ejecución remota de código SSH inicialmente puntuada en 9,8 se reevaluó posteriormente a 8,1 debido a la dificultad de explotación.
• CVE-2024-38063: una vulnerabilidad RCE del sistema Windows con una puntuación CVSS de 9,8 llamó mucho la atención, pero se consideró muy difícil de explotar después de un análisis exhaustivo realizado por expertos en seguridad.

Estos ejemplos resaltan la importancia de un análisis técnico detallado para comprender completamente el impacto de una vulnerabilidad.

Mientras se espera la divulgación completa y los parches posteriores, los usuarios y administradores deben:

• Mantenerse informado siguiendo las actualizaciones de fuentes confiables de noticias sobre seguridad y comunicaciones oficiales de proveedores.
• Revisar y mejorar las medidas de seguridad existentes, como firewalls y sistemas de detección de intrusos.
• Prepararse para una rápida implementación de parches una vez que estén disponibles.

 Vía:

https://blog.segu-info.com.ar/2024/09/fallo-grave-de-rce-no-autenticado-cvss.html