[NEWS] Linux, c'era un buco nel kernel

[c.m.g]

mercoledì 20 gennaio 2016

Spoiler:

I ricercatori scovano un nuovo bug nel kernel open source, una falla sfruttabile per ottenere privilegi di accesso root su PC ma anche su gadget mobile. Unica controindicazione: l'exploit richiede molto tempo

Roma - Gli analisti di Perception Point Research hanno identificato una nuova falla all'interno di Linux, un problema introdotto nel kernel FOSS già dal 2012 e che potrebbe garantire privilegi di accesso "root" su PC e gadget mobile basati su Android a smanettoni e malintenzionati. Sempre si prendano tutto il tempo necessario a far girare l'exploit.

Il bug risiede nel servizio di caching che permette di salvare le chiavi e altri dati crittografici direttamente all'interno del kernel (Linux key retention service), e consiste nel provare tutte le combinazioni possibili di un numero intero a 32-bit (variabile "usage") fino ad aprire un "buco" di tipo "use-after-free".

Classificata come CVE-2016-0728, la falla è stata identificata nei kernel compilati sui popolari sistemi operativi basati su Linux inclusi RHEL 7, CentOS 7, Debian 8.x e 9.x, SUSE Enterprise 12, Ubuntu 14.04 LTS, 15.04 e 15.10, OpenSUSE LEAP e 13.2. Le software house erano a conoscenza dell'esistenza del bug e hanno già provveduto a rilasciare un aggiornamento correttivo.Nel mettere in guardia sulla pericolosità del nuovo bug, Perception dice di non essere a conoscenza di attacchi già in circolazione; nondimeno, si tratta di un problema che coinvolge approssimativamente dieci milioni di PC e server Linux e il 66 per cento del miliardo e passa di dispositivi mobile che fanno uso di Android.

La gravità della situazione risulta in ogni caso mitigata dal tempo necessario a far girare in pieno l'exploit, visto che occorrono oltre 4,2 miliardi di chiamate di sistema per calcolare tutti i possibili valori (2 elevato alla 32) di un numero intero a 32-bit. Su un processore x86 (Intel Core i7-5500 CPU) e il kernel Linux 3.18 l'exploit richiede mezz'ora per avere effetto, figurarsi i tempi richiesti su un SoC mobile ARM.

Alfonso Maruccia





Fonte: Punto Informatico

[c.m.g]

Bug in Linux mette a rischio i dispositivi Android su webnews

[c.m.g]

Bug Linux in Android, il rischio è basso su webnews