Hoy hablaremos sobre Stack Clash, una vulnerabilidad grave encontrada en sistemas *nix, entre los que se encuentran Linux, Solaris y algunas variantes de BSD.
¿Qué es Stack Clash?
Es una vulnerabilidad, (CVE-2017-1000364) en la administración de memoria de varios sistemas operativos, incluidos Linux, OpenBSD, NetBSD, FreeBSD y Solaris, tanto en las arquitecturas i386 como en amd64.
Esta vulnerabilidad puede ser explotada por atacantes que corrompan la memoria y ejecuten código arbitrario.
Los investigadores de Qualys descubrieron esta vulnerabilidad y desarrollaron siete exploits y siete pruebas de concepto, y luego trabajaron cerca de los desarrolladores y fabricantes de los productos vulnerables para liberar parches de seguridad.
Hoy, 19/junio/2017, se están realizando esfuerzos coordinados para parchar todas las distribuciones, y ya pueden obtenerse los parches, por lo que es recomendable aplicarlos.
¿En qué consiste la vulnerabilidad?
Cada programa que corre en la computadora utiliza una región especial de memoria llamada Pila o Stack. Esta región es especial puesto que cambia de tamaño según las necesidades del programa. Generalmente las aplicaciones la utilizan para almacenar argumentos de llamadas a funciones, y direcciones de retorno de las mismas.
Si el stack crece demasiado, puede «pisar» otra región de memoria de un programa, llamada montón, o heap, utilizada, por ejemplo, para almacenamiento de memoria dinámica en las aplicaciones.
Al pisar esta otra región de memoria, ocasiona confusión en el normal desenvolvimiento de las aplicaciones, y esta confusión puede ser explotada por un atacante sobreescribiendo el stack con el heap, o viceversa.
¿Y por qué Stack Clash?
El primer paso par explotar la vulnerabilidad es la de hacer «chocar» la región de stack con la de heap. Clash se traduce como chocar o colisionar al español.
¿Stack Clash represente una o varias vulnerabilidades?
Esta vulnerabilidad, la CVE-2017-1000364, demuestra que un stack guard-page de pocos kibibytes es insuficiente. Pero durante la investigación realizada por Qualys se descubrieron mas vulnerabilidades, algunas directa o indirectamente relacionadas a Stack Clash, por ejemplo, las vulnerabilidades CVE-2017-1000365 y CVE-2017-1000367.
¿Mi sistema se ve afectado?
Si estás usando Linux, OpenBSD, NetBSD, FreeBSD, o Solaris, en arquitecturas i386 o amd64, sí, estás afectado. Otros sistemas operativos y arquitecturas podrían ser vulnerables también.
¿Qué riesgos corremos?
Los exploits y pruebas de concepto demostraron que la vulnerabilidad permite una escalada de privilegios local: un atacante que tenga cualquier tipo de acceso a un sistema afectado, podrá explotar Stack Clash y obtener privilegios completos de root.
¿Es explotable remotamente?
Las investigaciones se focalizaron en exploits locales, pero no se sabe si puede ser explotada remotamente mediante alguna aplicación. No obstante, un exploit remoto de Stack Clash no es imposible… localmente no es difícil de demostrar, pero remotamente va a depender, seguramente, de detalles particulares de alguna aplicación.
Los investigadores de Qualys analizaron detenidamente Exim, el conocido servidor de correo electrónico open source, y determinaron que no permite vulnerar al sistema remotamente.
¿Cómo podemos protegernos?
La forma más simple y segura es actualizando el sistema… la gente de Qualys viene trabajando con los desarrolladores de sistemas y fabricantes de equipos desde principios de mayo, y a hoy ya se encuentran los parches disponibles para cada distro.
¿Qué pasa si no puedo (o no quiero) actualizar o reiniciar el sistema?
Como solución temporal, se puede configurar los límites RLIMIT_STACK y RLIMIT_AS para los usuarios locales y servicios remotos en algún valor razonablemente pequeño.
Si bien sirve para mejorar un poco la seguridad, ya que según las pruebas realizadas, igual puede terminar siendo vulnerable el sistema, y si los valores son muy pequeños, causará fallos en las aplicaciones que deberían correr normalmente.
Conclusiones y referencias
Para más detalles técnicos sobre la vulnerabilidad se puede visitar el sitio de Stack Clash Security Advisory, o los sitios de los desarrolladores de los principales sistemas afectados:
En esta oportunidad haremos una breve introducción a la criptografía simétrica y asimétrica, y utilizaremos OpenSSL para cifrar archivos simétricamente. Cuántas veces nos ha sido necesario pasarle esos datos privados a alguien por correo electrónico, Leer más…
Hoy les voy a comentar algunos conceptos sobre aleatoriedad de la información y entropía en un generador random en sistemas Linux, particularmente de la entropía, su concepto y usos. Entropía La entropía, también llamada Entropía Leer más…
En este post veremos cómo podemos multiplexar o reutilizar una conexión de SSH contra un servidor para acelerar la autenticación o login de las siguientes conexiones. Este post complementa el contenido del Curso online de Leer más…
tada por atacantes que corrompan la memoria y ejecuten código arbitrario.
ún las necesidades del programa. Generalmente las aplicaciones la utilizan para almacenar argumentos de llamadas a funciones, y direcciones de retorno de las mismas.
Si estás usando Linux, OpenBSD, NetBSD, FreeBSD, o Solaris, en arquitecturas i386 o amd64, sí, estás afectado. Otros sistemas operativos y arquitecturas podrían ser vulnerables también.