Han surgido detalles sobre una vulnerabilidad de alta gravedad ahora parcheada en el kernel de Linux que podr\u00eda ser objeto de abuso para escapar de un contenedor con el fin de ejecutar comandos arbitrarios en el host del contenedor.<\/p>\n
La deficiencia reside en una caracter\u00edstica del kernel de Linux llamada grupos de control<\/a>tambi\u00e9n conocido como cgroups versi\u00f3n 1 (v1), que permite que los procesos se organicen en grupos jer\u00e1rquicos, lo que permite limitar y monitorear de manera efectiva el uso de recursos como CPU, memoria, E\/S de disco y red.<\/p>\n rastreado como CVE-2022-0492<\/a> (puntaje CVSS: 7.0), el asunto<\/a> preocupaciones<\/a> a caso<\/a> de escalada de privilegios<\/a> en la funcionalidad release_agent de cgroups v1, un script que se ejecuta despu\u00e9s de la finalizaci\u00f3n de cualquier proceso en cgroup.<\/p>\n “El problema se destaca como una de las escaladas de privilegios de Linux m\u00e1s simples descubiertas en los \u00faltimos tiempos: el kernel de Linux expuso por error una operaci\u00f3n privilegiada a usuarios sin privilegios”, dijo el investigador de la Unidad 42, Yuval Avrahami. dijo<\/a> en un informe publicado esta semana.<\/p>\n los p\u00e1gina man<\/a> para cgroups explica su funci\u00f3n de la siguiente manera:<\/p>\n Si se invoca o no el programa release_agent cuando un cgroup en particular queda vac\u00edo se determina por el valor en el archivo notificar_on_release en el directorio cgroup correspondiente. Si este archivo contiene el valor 0, entonces no se invoca el programa release_agent. Si contiene el valor 1, se invoca el programa release_agent. El valor predeterminado para este archivo en el cgroup ra\u00edz es 0.<\/em><\/p>\n Espec\u00edficamente, el equipo de inteligencia de amenazas de Palo Alto Networks se\u00f1al\u00f3 que el error es consecuencia de una falta de verificaci\u00f3n para verificar si el proceso que configura el archivo release_agent ten\u00eda privilegios administrativos, lo que lo preparaba para una posible explotaci\u00f3n.<\/p>\n En otras palabras, si un atacante sobrescribe este archivo release_agent, el n\u00facleo puede verse obligado a llamar a un binario arbitrario configurado en el agente de versi\u00f3n con los permisos m\u00e1s altos posibles, un escenario que podr\u00eda permitir efectivamente una toma de control completa de la m\u00e1quina.<\/p>\n Sin embargo, vale la pena se\u00f1alar que solo los procesos con privilegios “ra\u00edz” pueden escribir en el archivo, lo que significa que la vulnerabilidad solo permite que los procesos ra\u00edz aumenten los privilegios.<\/p>\n “A primera vista, una vulnerabilidad de escalada de privilegios que solo puede ser explotada por el usuario ra\u00edz puede parecer extra\u00f1a”, explic\u00f3 Avrahami. “Ejecutar como root no significa necesariamente control total sobre la m\u00e1quina: hay un \u00e1rea gris entre el usuario root y los privilegios completos que incluye capacidades, espacios de nombres y contenedores. En estos escenarios donde un proceso root no tiene control total sobre la m\u00e1quina , CVE-2022-0492 se convierte en una vulnerabilidad grave”.<\/p>\n Aunque los contenedores que funcionan con AppArmor<\/a> o SELinux<\/a> est\u00e1n protegidos contra la falla, se recomienda a los usuarios que aplicar<\/a> los parches<\/a> en vista del hecho de que otros procesos de host maliciosos podr\u00edan abusar de \u00e9l para elevar los privilegios.<\/p>\n Esto est\u00e1 lejos de ser la primera vez que release_agent surge como un vector de ataque. En julio de 2017, el investigador de Google Project Zero Felix Wilhelm demostrado<\/a> un exploit de prueba de concepto (PoC) “r\u00e1pido y sucio” que aprovecha la funci\u00f3n para salir de los contenedores privilegiados de Kubernetes y Docker.<\/p>\n![\"Copias](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/02\/Piratas-informaticos-iranies-utilizan-nuevo-malware-de-espionaje-que-abusa.png\")
<\/a><\/div>\n![\"Evitar](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/03\/1646327406_168_Parches-criticos-emitidos-para-los-productos-Cisco-Expressway-Series-TelePresence.jpeg\")
<\/a><\/div>\n