.
Exatamente o que todo administrador de sistema Linux deseja antes das férias: um sério bug de segurança do kernel do Linux. A Zero Day Initiative (ZDI), uma empresa de pesquisa de segurança de dia zero, anunciou um novo bug de segurança do kernel do Linux. Essa brecha permite que usuários remotos autenticados divulguem informações confidenciais e executem códigos em versões vulneráveis do kernel do Linux.
Também: Cibersegurança: essas são as novidades com as quais se preocupar em 2023
Quão ruim é isso? Originalmente, o ZDI classificou-o como 10 perfeito na escala comum de 0 a 10 do Vulnerability Scoring System (CVSS). Agora, o buraco é “apenas” um 9,6. Isso ainda conta como um “Remende! Conserte agora!” bug no servidor Linux de qualquer pessoa.
O problema está no servidor SMB (Server Message Block) no kernel do Linux 5.15, ksmbd. A falha específica existe no processamento dos comandos SMB2_TREE_DISCONNECT. O problema resulta da falta de validação da existência de um objeto antes de realizar operações no objeto. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do kernel.
Este novo programa, que foi introduzido no kernel em 2021, foi desenvolvido pela Samsung. Seu objetivo era fornecer desempenho rápido de serviço de arquivo SMB3. O SMB é usado no Windows no Linux, via Samba como um protocolo de servidor de arquivos vital. O Ksmbd não pretende substituir o Samba, mas complementá-lo. Os desenvolvedores do Samba e do ksmbd estão trabalhando para que os programas funcionem em conjunto.
Dito isso, Jeremy Allison, co-criador do Samba, observa: “ksmbd não compartilha nenhum código com o Samba de produção. É completamente do zero. Portanto, esta situação atual não tem nada a ver com o servidor de arquivos Samba que você pode estar executando em seus sistemas”.
Qualquer distro usando o kernel Linux 5.15 ou superior é potencialmente vulnerável. Isso inclui o Ubuntu 22.04 e seus descendentes e o Deepin Linux 20.3. Para fins de servidor, o Ubuntu é o mais preocupante. Outras distribuições corporativas, como a família Red Hat Enterprise Linux (RHEL), não usam o kernel 5.15. Não tenho certeza? Apenas corra:
$ uname -r
Para ver qual versão do kernel você está executando.
Então, se você estiver executando o kernel suscetível, para ver se o módulo vulnerável está presente e ativo, execute:
$ modinfo ksmb
O que você quer ver é que o módulo não foi encontrado. Se estiver carregado, você desejará atualizar para o kernel Linux 5.15.61. Muitas distros, infelizmente, ainda não foram movidas para esta versão do kernel.
Algumas pessoas se perguntam se isso é tão importante, então por que não recebeu um número de Vulnerabilidades e exposições comuns (CVE)? Greg Kroah-Hartmann, o mantenedor do kernel Linux do ramo estável, explicou: “os desenvolvedores do kernel não trabalham com CVEs, pois eles não são tão relevantes para a maior parte dos problemas do kernel”. É verdade, “Algumas empresas Linux ainda insistem em atribuir CVEs, mas isso é principalmente para ajudar a habilitar seus processos internos de engenharia”.
Além disso: Quer o Deepin Desktop sem preocupações com privacidade? Experimente o ExTiX Linux
Outros estão preocupados que tal problema possa existir em um programa de kernel em primeiro lugar. Como uma pessoa colocou no Ycombinator, isso “parece uma superfície de ataque bastante significativa (externa) para adicionar ao kernel”. Ele não está errado. As implementações do Windows SMB têm um longo e feio histórico de segurança. Em 2020, por exemplo, o SMBGhost, também conhecido como CoronaBlue, abriu os PCs com Windows 10 para ataques de segurança SMB.
Não são apenas pessoas de fora que se preocupam com a segurança do ksmbd. Antes deste episódio, Kees Cook, um desenvolvedor sênior de segurança do kernel do Linux, escreveu: “Algumas dessas falhas são propriedades de segurança do sistema de arquivos bastante fundamentais que não estavam sendo testadas, além do caso perturbador de estouro de buffer em um servidor de sistema de arquivos no kernel .” Cook concluiu: “Estou preocupado com a qualidade do código aqui e acho que algo precisa mudar nos processos de revisão e teste”.
Correções foram feitas, mas este último episódio mostra que o código precisa de mais limpeza e segurança antes que eu, por exemplo, esteja pronto para confiar nele na produção. Seria sensato corrigir o kernel por enquanto e evitar usá-lo também, em favor do Samba por enquanto.
Histórias relacionadas:
.
