Microsoft reveló el pasado martes, 26 de abril, un par de vulnerabilidades de escalada de privilegios en Linux que podrían ser aprovechadas para acceder a los equipos. Los descubridores las han denominado conjuntamente como «Nimbuspwn» al poder usarse consecutivamente para obtener privilegios de usuario root.

El equipo 365 Defender Research de Microsoft publicó recientemente el informe «Microsoft finds new elevation of privilege Linux vulnerability, Nimbuspwn». En dicho informe se detallan las vulnerabilidades propuestas como CVE-2022-29799 y CVE-2022-29800. Entre otras cosas, los atacantes podrían aprovecharlas para instalar una puerta trasera en el equipo atacado. Dado que podrían ejecutar ćodigo arbitraro con permisos de root, podrían también implementar ataques más sofisticados como la ejecución de ransomware o similares.

Las vulnerabilidades descubiertas por el equipo de Microsoft radican en un componente de systemd llamado networkd-dispatcher. Este componente consiste en un daemon usado por el sistema de administración de redes diseñado para monitorizar cambios de estado de la red.

La vulnerabilidad propuesta como CVE-2022-29799 está relacionada con una validación insuficiente de los permisos de acceso a archivos (directory traversal). La otra vulnerabilidad, propuesta como CVE-2022-29800, describe la creación de enlaces simbólicos de forma insegura que permitirían el acceso a archivos protegidos (symlink race); combinada con fallos de verificación de estado (TOCTOU race). La combinación de ambas vulnerabilidades podrían permitir a un atacante que obtenga el control de un servicio D-Bus (usado por ejemplo en GNOME y KDE) la creación de puertas traseras maliciosas en los equipos comprometidos.

Desde Hispasec Sistemas, siempre recomendamos mantener actualizados todos los sistemas para mitigar las posibilidades de explotación de las vulnerabilades descubiertas por los equipos de investigación. En este caso, es aconsejable que los usuarios de networkd-dispatcher actualicen sus instancias a la última versión.

fuente: Hispasec.com