📸 Créditos da imagem: reprodução / Tecmundo
Duas novas e críticas vulnerabilidades foram descobertas no kernel do Linux, permitindo que um usuário comum escale seus privilégios e assuma o controle total de um sistema. As falhas, documentadas em junho de 2025, representam um risco significativo para diversas distribuições amplamente utilizadas, incluindo Debian, Ubuntu, Fedora e Red Hat Enterprise Linux.
Essas vulnerabilidades fazem parte de uma série maior de falhas que operam com um padrão semelhante. A mais recente, batizada de DirtyClone e registrada como CVE-2026-43503, possui uma pontuação de gravidade de 8.8 em uma escala de 10. A outra, conhecida informalmente como pedit COW, foi identificada sob o código CVE-2026-46331.
O que são e como funcionam
Para compreender a natureza dessas vulnerabilidades, é fundamental entender como o kernel do Linux gerencia a memória do computador. O kernel emprega uma técnica sofisticada chamada “copy-on-write” (COW), que visa prevenir que múltiplos processos modifiquem os mesmos dados simultaneamente. Essencialmente, antes de qualquer alteração, uma cópia privada dos dados é criada.
O cerne do problema em ambas as falhas reside na execução incorreta dessa técnica de copy-on-write em cenários específicos. Em vez de criar uma cópia privada, o kernel acaba modificando diretamente uma região de memória compartilhada, que está associada a um arquivo em uso pelo sistema.
No caso do DirtyClone, o ataque se desenrola da seguinte forma: um invasor carrega na memória um programa com privilégios elevados, como o comando su, utilizado para alternar usuários no Linux. Em seguida, ele força o kernel a clonar um pacote de rede que aponta para essa região de memória, utilizando um túnel IPsec sob seu controle. Durante o processo de decriptação do pacote, o kernel sobrescreve a cópia em memória do programa com instruções maliciosas escolhidas pelo atacante. Assim, na próxima vez que o comando su for executado, ele concede acesso root ao invasor.
A vulnerabilidade pedit COW segue uma lógica similar. Ela reside na funcionalidade de edição de pacotes de rede conhecida como act_pedit. O kernel deveria, por protocolo, criar uma cópia privada dos dados antes de editá-los. Contudo, em determinadas circunstâncias, ele escreve diretamente na memória compartilhada, corrompendo a imagem em cache de um programa com privilégios.
Por que é difícil detectar
Uma característica que complica a detecção desses dois tipos de ataques é que nenhum deles altera o arquivo original no disco. A modificação ocorre exclusivamente na cópia que o kernel mantém na memória.
Consequentemente, ferramentas de verificação de integridade de arquivos, como Tripwire ou AIDE, que inspecionam o conteúdo do disco, retornam resultados limpos, mesmo que o invasor já tenha obtido acesso root. Embora um simples reinício do sistema restaure o estado original, o atacante pode ter agido e extraído informações antes disso.
Quem está em risco
Para explorar essas falhas, o invasor necessita de uma permissão de rede específica, a CAP_NET_ADMIN. Em muitas distribuições Linux, um usuário comum pode adquirir essa permissão ao criar um “namespace”, que funciona como um ambiente isolado dentro do sistema.
A criação de namespaces por usuários sem privilégios está habilitada por padrão em algumas distribuições, o que facilita a exploração. São elas:
- Debian: Criação de namespaces por usuários sem privilégios habilitada por padrão.
- Fedora: Criação de namespaces por usuários sem privilégios habilitada por padrão.
- Ubuntu 24.04 e versões mais recentes: Possuem restrições adicionais via AppArmor que dificultam o caminho padrão do ataque, mas o kernel permanece vulnerável.
Os sistemas mais expostos a essas vulnerabilidades incluem servidores com múltiplos usuários, ambientes de integração contínua (CI), servidores de containers e clusters Kubernetes onde usuários sem privilégios têm a capacidade de criar namespaces.
O que fazer
A correção para a vulnerabilidade DirtyClone já foi incorporada ao kernel Linux na versão 7.1-rc5, lançada em 24 de maio. Distribuições como Debian, Ubuntu e SUSE já disponibilizaram as atualizações necessárias. O Red Hat, por sua vez, mantém um registro em acompanhamento para a implementação da correção.
Para a falha pedit COW, a situação de correção varia entre as distribuições:
- Debian: A versão “trixie” foi corrigida através do canal de segurança, mas as versões 11 e 12 ainda permanecem vulneráveis.
- Ubuntu: As versões de 18.04 até 26.04 são listadas como afetadas.
- Red Hat: As versões RHEL 8, 9 e 10 são apontadas como afetadas.
<p
📰 Leia a notícia completa em: Tecmundo »