Los sistemas de código abierto tampoco se libran de los problemas de seguridad informática. En julio un equipo de investigadores de la firma Qualys detectó dos vulnerabilidades relevantes en Linux, nombradas como CVE-201-33909 ('Sequoia' para los amigos) y CVE-2021-33910.
La primera de ellas permitía a cualquier usuario obtener privilegios de administrador en una configuración predeterminada. Era del tipo size_t-to-int en el sistema de archivos del Kernel de Linux, por lo que afectaba a la mayoría de sistemas operativos.
Ahora la misma compañía ha alertado de otra vulnerabilidad grave que afecta a sistemas operativos basados en Linux, aunque en esta ocasión se circunscribe a Ubuntu.
Hablamos de 'Oh, Snap! More Lemmings' (CVE-2021-44731), una denominación que, en realidad, comprende un conjunto de múltiples vulnerabilidades en la función de gestión de paquetes Snap del sistema Ubuntu, la más importante de las cuales puede explotarse para escalar privilegios y obtener el control de administrador.
Snap es un sistema de implementación y empaquetado de software desarrollado por Canonical para sistemas operativos que utilizan el kernel de Linux. La última vulnerabilidad que se conocía en Snap data del año 2019 y se nombró como 'Dirty Sock'.
Menos crítica que PwnKit
Desde Qualys aseguran que, pese a su gravedad, el alcance de la nueva vulnerabilidad no sería tan crítico como el PwnKit. Esta fue encontrada también por investigadores de la casa, suponiendo un duro golpe para las distribuciones de Linux. Sin embargo, lo que resulta muy relevante es su alcance. Se estima que podría afectar a 40 millones de usuarios que tienen Ubuntu instalado en sus equipos en este momento.
Parece que los investigadores de seguridad de Qualys han verificado de forma independiente la vulnerabilidad, desarrollado un exploit y obtenido privilegios completos de administrador en las instalaciones predeterminadas de Ubuntu.
“Esta vulnerabilidad recién descubierta vuelve a demostrar que la seguridad no es nunca absoluta. Este código en concreto había sido revisado a fondo y Snap cuenta además con una tecnología muy defensiva, pero no ha sido suficiente”, ha subrayado Sergio Pedroche, Country Manager de Qualys para España y Portugal. “Dada la amplitud de la superficie de ataque y la popularidad del sistema operativo recomendamos que los usuarios apliquen parches de inmediato”.