In questo articolo Indice dei contenuti 2 sezioni
Una grave falla nel kernel Linux consente a un attaccante non autenticato di eseguire comandi da remoto con privilegi di root sui server che hanno attivo un listener Multipath TCP. A dimostrarlo sono stati i ricercatori di sicurezza di Anthropic, che hanno messo a punto un exploit funzionante per questa vulnerabilità critica. Il problema riguarda anche le normali connessioni TCP, anche se in quel caso l’esecuzione di codice da remoto non è stata ancora mostrata pubblicamente su macchine prive di un listener MPTCP.
Vale la pena spiegare cos’è MPTCP. Si tratta di una funzione del protocollo TCP che permette a una singola connessione di sfruttare più percorsi di rete nello stesso momento, così da migliorare prestazioni e affidabilità. Viene usata di frequente dove i dispositivi dispongono di più collegamenti contemporanei, come una rete WiFi affiancata a quella cellulare.
Tecnicamente la falla è un difetto di tipo use after free nel codice che gestisce il networking TCP su IPv4. Il team che si occupa delle segnalazioni di sicurezza del kernel Linux le ha attribuito un punteggio di gravità di 9.8 su 10. Il bug è presente nelle versioni del kernel a partire dalla 4.4 e coinvolge distribuzioni molto diffuse come Ubuntu, Red Hat Enterprise Linux e Rocky Linux.
Secondo il bollettino ufficiale tutto nasce da una race condition nel modo in cui il sistema gestisce le richieste di connessione TCP. In pratica le opzioni IP di una richiesta vengono passate al socket figlio senza essere copiate, mentre un altro processore può elaborare in parallelo un pacchetto SYN ritrasmesso per la stessa richiesta e rispondere con un SYNACK leggendo quei dati. Uno scenario simile può verificarsi durante la migrazione delle richieste TCP quando è attivo il parametro net.ipv4.tcpmigratereq oppure quando si usa un programma BPF dedicato alla migrazione.
Red Hat ridimensiona, Anthropic dimostra il contrario
Per far scattare il bug non serve alcuna autenticazione, ma secondo Red Hat sfruttare la race condition è molto più complicato che inviare un semplice pacchetto malevolo. L’azienda considera la vulnerabilità soprattutto un potenziale rischio di denial of service capace di mandare in crash il kernel e le assegna un punteggio più basso, pari a 5.9, proprio per la complessità dell’attacco.
I ricercatori di Anthropic hanno però mostrato che in condizioni specifiche si può arrivare all’esecuzione di codice da remoto. Un modello Claude non ancora rilasciato ha sviluppato un exploit in grado di aggirare la protezione KASLR, che rende casuale la disposizione della memoria del kernel, e di lanciare comandi arbitrari come root su un server Linux con un listener MPTCP attivo. Ci sono voluti circa 53 minuti per ottenere il controllo completo, la prova che il bug può servire a molto più di un semplice blocco del sistema.
Di solito MPTCP non è abilitato di default nelle applicazioni, eppure alcuni software lo attivano in automatico. Dalla versione 1.24 il linguaggio Go lo accende per impostazione predefinita sui listener TCP in ambiente Linux, a patto che il kernel lo supporti. Per questo motivo alcuni servizi di rete scritti in Go potrebbero esporre listener MPTCP senza che gli amministratori ne siano consapevoli.
Patch in arrivo e mitigazioni temporanee
La correzione è già entrata nel kernel principale ed è stata riportata sui rami ancora mantenuti, ma gli aggiornamenti di sicurezza non hanno ancora raggiunto tutte le distribuzioni coinvolte. Stando al tracker di Canonical, Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS e 26.10 risultavano ancora vulnerabili al 30 ottobre, con le correzioni in lavorazione. Red Hat indica come colpite RHEL 8, 9 e 10 con fix previsti nei prossimi aggiornamenti, mentre RHEL 7 è al sicuro perché il suo kernel non contiene il codice difettoso.
CIQ, che offre supporto per Rocky Linux, conferma che anche le versioni 8, 9 e 10 sono esposte e ha condiviso protezioni temporanee tramite firewall. Debian ha già corretto il problema con i pacchetti kernel 6.1.190 per Debian 12 Bookworm e 6.12.113 per Debian 13 Trixie, e versioni sistemate sono disponibili anche per i rami testing e unstable. Oracle Linux, Amazon Linux e SUSE hanno a loro volta rilasciato fix per alcune delle versioni del kernel interessate. macOS invece non è toccato, dato che si basa sul kernel XNU di Apple e non su quello Linux.
Agli amministratori viene raccomandato di consultare i bollettini della propria distribuzione e di installare i nuovi pacchetti del kernel Linux appena disponibili. Dove le patch non sono ancora arrivate, limitare l’accesso a reti o indirizzi IP fidati può ridurre il rischio. CIQ suggerisce inoltre di bloccare temporaneamente i pacchetti TCP su IPv4 che contengono opzioni IP prima che raggiungano il codice vulnerabile e ha pubblicato esempi di regole nftables per farlo. L’azienda avverte che disattivare soltanto MPTCP non basta, perché la falla può essere innescata anche attraverso il normale traffico TCP. Al momento non ci sono segnalazioni confermate di attacchi reali che sfruttino questa vulnerabilità.
Fonte: TecnoAndroid