Exploit para obtener privilegios de root en OpenBSD (fallo de memoria compartida con 37 años)

Se ha pu­bli­ca­do un ex­ploit de es­ca­la­mien­to de pri­vi­le­gios local que per­mi­te ob­te­ner ac­ce­so de root en OpenBSD 7.9. El ex­ploit com­bi­na un des­bor­da­mien­to de en­te­ros (que data de hace unos 37 años) con otra vul­ne­ra­bi­li­dad del ker­nel, lo­gran­do así elu­dir tanto el me­ca­nis­mo KARL (alea­to­ri­za­ción de di­rec­cio­nes del nú­cleo) de OpenBSD como las pro­tec­cio­nes de hard­wa­re SMAP y SMEP.

La firma de se­gu­ri­dad Calif, que des­cu­brió y no­ti­fi­có estos fa­llos, pu­bli­có un in­for­me de­ta­lla­do junto con el có­di­go de prue­ba de con­cep­to una vez que OpenBSD lanzó los par­ches co­rres­pon­dien­tes en sep­tiem­bre.

El des­bor­da­mien­to de en­te­ros en la fun­ción `shmat(4)` fue co­rre­gi­do en la erra­ta 018, pu­bli­ca­da el 14 de sep­tiem­bre como una me­jo­ra de fia­bi­li­dad. La vul­ne­ra­bi­li­dad de tipo use-after-free, re­la­cio­na­da con el con­teo de re­fe­ren­cias y que com­ple­ta la ca­de­na de ata­que, se co­rri­gió por se­pa­ra­do en la erra­ta 026, pu­bli­ca­da el 30 de sep­tiem­bre como una co­rrec­ción de se­gu­ri­dad.

Ambas ac­tua­li­za­cio­nes están dis­po­ni­bles a tra­vés de `sys­patch` y abar­can todas las ar­qui­tec­tu­ras. OpenBSD 7.8 tam­bién re­ci­bió la co­rrec­ción para el des­bor­da­mien­to de en­te­ros. El des­bor­da­mien­to de en­te­ros, que sirve como punto de en­tra­da para la ca­de­na de ata­que com­ple­ta, está cla­si­fi­ca­do como una co­rrec­ción de fia­bi­li­dad, no como una co­rrec­ción de se­gu­ri­dad.

Hasta el mo­men­to de la pu­bli­ca­ción, no se ha asig­na­do nin­gún iden­ti­fi­ca­dor CVE a nin­gu­na de estas vul­ne­ra­bi­li­da­des. Tam­po­co exis­ten prue­bas de que hayan sido uti­li­za­das en ata­ques reales…