Nuova Vulnerabilità Glibc (CVE-2023-6246): Attaccanti Ottengono Accesso Root su Linux | 31 Gennaio 2024
Una falla di sicurezza recentemente scoperta nella GNU C library, nota come Glibc, ha sollevato preoccupazioni per la sicurezza su importanti distribuzioni Linux. Identificata come CVE-2023-6246, questa vulnerabilità di overflow del buffer basato su heap è radicata nella funzione __vsyslog_internal() di Glibc, utilizzata per scopi di registrazione di sistema da syslog() e vsyslog(). La sua introduzione accidentale risale a agosto 2022 con il rilascio di Glibc 2.37.
Secondo Saeed Abbasi, responsabile del Threat Research Unit di Qualys, la falla consente ai malintenzionati locali di ottenere l’escalation dei privilegi, consentendo a un utente non privilegiato di acquisire pieno accesso root. Questo impatto si estende a distribuzioni Linux cruciali come Debian, Ubuntu e Fedora, rendendo la minaccia significativa.
L’attore minaccioso potrebbe sfruttare la vulnerabilità attraverso input appositamente progettati per le applicazioni che utilizzano le funzioni di registrazione coinvolte. Nonostante la necessità di condizioni specifiche per lo sfruttamento, come un argv[0] insolitamente lungo o un ident argument di openlog(), l’ampio utilizzo della libreria rende l’impatto della vulnerabilità significativo.
Ulteriori analisi di Glibc hanno rivelato due falle aggiuntive nella funzione __vsyslog_internal() (CVE-2023-6779 e CVE-2023-6780) e un terzo bug nella funzione qsort() della libreria, portando a potenziali problemi di corruzione di memoria. La vulnerabilità in qsort() ha interessato tutte le versioni di Glibc rilasciate dal 1992.
Questo sviluppo segue di quasi quattro mesi la dettagliata esposizione di un’altra falla di gravità elevata nella stessa libreria, nota come Looney Tunables (CVE-2023-4911, punteggio CVSS: 7,8), che potrebbe comportare un’escalation dei privilegi. Queste scoperte sottolineano l’importanza di misure di sicurezza rigorose nello sviluppo del software, soprattutto per le librerie di base ampiamente utilizzate in vari sistemi e applicazioni.