Los investigadores de ciberseguridad han arrojado luz sobre una nueva técnica de explotación del kernel de Linux llamada palo SLUB esto podría explotarse para elevar una vulnerabilidad de montón limitada a una primitiva de lectura y escritura de memoria arbitraria.
“Inicialmente, aprovecha un canal lateral de sincronización del asignador para realizar un ataque entre cachés de manera confiable”, dijo un grupo de académicos de la Universidad Tecnológica de Graz. dicho [PDF]“Concretamente, explotar las filtraciones de canales laterales eleva la tasa de aciertos a más del 99% para los cachés genéricos de uso frecuente. »
Las vulnerabilidades de seguridad de la memoria que afectan al kernel de Linux tienen capacidades limitadas y son mucho más difíciles de explotar debido a características de seguridad como la prevención de acceso en modo supervisor (Mapa de la región SMAP), Aleatorización del diseño del espacio de direcciones del kernel (KASLR) y la integridad del flujo de control del kernel (kCFI).
Aunque los ataques de software entre cachés se diseñaron como una forma de contrarrestar las estrategias de endurecimiento del kernel, como la división aproximada del montón, los estudios han demostrado que los métodos existentes sólo tienen una tasa de éxito del 40%.
SLUBStick se demostró en las versiones 5.19 y 6.2 del kernel de Linux utilizando nueve vulnerabilidades de seguridad (por ejemplo, doble libre, uso después de libre y escritura fuera de límites) descubiertas entre 2021 y 2023, lo que llevó a una escalada de privilegios a la raíz sin autenticación y agotamiento de contenedores. .
La idea principal detrás de este enfoque es proporcionar la capacidad de modificar los datos del kernel y obtener una primitiva de lectura y escritura de memoria arbitraria de una manera que supere de manera confiable las defensas existentes como KASLR.
Sin embargo, para que esto funcione, el modelo de amenaza supone la presencia de una vulnerabilidad de montón en el kernel de Linux y que un usuario sin privilegios tiene capacidades de ejecución de código.
“SLUBStick explota los sistemas más nuevos, incluidas las versiones 5.19 y 6.2, para una amplia variedad de vulnerabilidades del montón”, dijeron los investigadores.