Falha no sudo permite execução de comandos restritos como root

System

Uma falha de segurança afeta as versões do sudo anteriores à 1.8.28, permitindo que usuários executem comandos como root, mesmo que estes estejam restritos.

A vulnerabilidade recebeu a designação CVE-2019-14287, e foi descoberta por Joe Vennix da Apple Information Security, sendo divulgada pelo projeto Sudo.

O interessante é que um atacante pode explorar a falha de segurança simplesmente especificando um ID “-1” ou “4294967295” para o usuário, permitindo a execução de comandos como superadministrador, sem restrições.

Administradores de sistemas GNU/Linux são recomendados a atualizarem os sistemas sob sua tutela imediatemente para a versão mais recente do sudo, cuja vulnerabilidade já foi corrigida. No momento em que escrevo este post, a dsitribuição Slackware Linux já havia disponibilizado pacotes de correção para as versões -current, 14.0, 14.1 e 14.2.

Algumas distribuições de referência, como Red Hat e derivadas, ainda não haviam divulgado atualizações para corrigir a falha, enquanto outras, como Ubuntu Linux e Debian Linux, haviam disponibilizado correções para algumas das versões sendo mantidas.

Cursos introdutórios oferecidos gratuitamente pela Red Hat

Redhat_logo

A Red Hat Inc. está oferecendo sete cursos introdutórios sobre temas como micro serviços, contêineres, virtualização, automação e linux, todos ligados a produtos por ela suportados, como o Red Hat Enterprise Linux, Red Hat OpenStack e Ansible.

Os treinamentos estão acessíveis através de uma página que concentra os links para a realização de inscrição nos cursos desejados e, em alguns casos, redirecionando inclusive para outras plataformas de educação, como a já conhecida edX, por exemplo. Os cursos disponibilizados são os seguintes:

  • RH024 – Red Hat Enterprise Technical Overview
  • RH018 – Virtualization and Infraestructure Migration Overview
  • RH066x – Fundamentals of Red Hat Entreprise Linux
  • CL010 – Red Hat OpenStack Tecnical Overview
  • DO007 – Ansible Essentials Simplicity in Automation Technical Overview
  • DO080 – Deploying Containerized Applications Technical Overview
  • DO092 – Deploying Cloud-Native Applications with Microservices Architectures

A maioria dos cursos tem curta duração, podendo ser vistos em apenas algumas horas e, por isso, após a inscrição o usuário tem até 30 dias para conclusão dos mesmos. A exceção fica por conta do curso RH066x, que tem o acesso permitido por 9 semanas junto a edX, além da opção de aquisição do certificado verificado, não obrigatório, pagando uma taxa de U$99 (noventa e nove dólares americanos).

Para terem uma noção de como estes são estruturados, o primeiro dos cursos oferecidos contém na grade 15 vídeo aulas, com uma duração total de 2 horas e 23 minutos. Há possibilidade de habilitação de legendas, porém nesse curso eu só pude ver a opção em inglês. Também não me foi oferecido um certificado de participação ao final deste, ficando a obtenção do conhecimento como vantagem. As aulas do curso RH024 – Red Hat Enterprise Technical Overview são as seguintes:

  1. Why Do IT Professionals Need Experience with Linux? (Porque profissionais de TI precisam de experiência com Linux?)
  2. Why Does the Open Source Development Model Matter? (Porque o modelo de desenvolvimento Open Source importa?)
  3. What is a Linux Distribution? (O que é uma distribuição Linux?)
  4. What is the Shell and How is it Used to Control Programs? (O que é o Shell e como ele é usado para controlar programas?)
  5. What is the Linux Kernel and What is User Space? (O que é o Kernel Linux e o que é o Espaço de Usuário?)
  6. Orientation to the Linux Graphic User Interface (Orientação para a interface gráfica Linux)
  7. Files in Linux (Arquivos em Linux)
  8. The File System Hierarchy (A hierarquia do sistema de arquivos)
  9. Editing Text Files in a Terminal (Editando arquivos texto em um terminal)
  10. Users and Groups (Usuários e grupos)
  11. File Permissions ( Permissões de arquivos)
  12. How Do I Manage Software in Red Hat Enterprise Linux? (Como eu gerencio aplicativos no Red Hat Enterprise Linus?)
  13. How Do I Configure Networking from the Command Line?(Como eu configuro a rede a partir da linha de comando?)
  14. How Do I Control System Startup Processes? (Como eu controlo o processo de inicialização do sistema?)
  15. How Do I Learn More About Linux? (Como eu aprendo mais a respeito do Linux?)

Confesso que achei o conteúdo bem interessante, mesmo para um curso introdutório, chegando a aprender coisas que não imaginava serem possíveis, mesmo sendo tão óbvias, portanto acredito que seja uma grande oportunidade de aprender mais sobre as tecnologias atualmente em uso pelas empresas, além de ampliar os conhecimentos e melhorar o entendimento a respeito de produtos comerciais baseados em tecnologias livres. Aproveitem!

Vulnerabilidades descobertas no Systemd

System

Como vocês provavelmente já ouviram falar, foram descobertas recentemente três novas vulnerabilidades no Systemd, que é um sistema de inicialização e gerenciador de serviços, utilizado em distribuições GNU/Linux populares como Red Hat e Debian, bem como em algumas destas derivadas.

Pesquisadores ligados à Qualys Inc. descobriram e reportaram as vulnerabilidades, que receberam as designações CVE-2018-16864, CVE-2018-16865, e CVE-2018-16866.

As informações publicadas no site The Hacker News, apontam que distribuições como SUSE Linux Enterprise 15, openSUSE Leap 15.0, e Fedora 28 and 29 não foram afetadas, visto que o código do espaço do usuário é compilado utilizando a opção fstack-clash-protection do GCC, protegendo este espaço contra ataques Stack Clash, que em uma tradução livre seriam ataques de “Colisão de Pilha”.

A vulnerabilidade Stack Clash é relatada pela própria Qualys como sendo uma falha que afeta não só a sistemas GNU/Linux, mas também OpenBSD, NetBSD, FreeBSD e Solaris, tanto em ambientes i386 quanto amd64.

“Cada programa executado em um computador usa uma região de memória especial chamada pilha. Essa região de memória é especial porque cresce automaticamente quando o programa precisa de mais memória de pilha. Mas se crescer muito e ficar muito perto de outra região de memória, o programa pode confundir a pilha com a outra região de memória. Um invasor pode explorar essa confusão para sobrescrever a pilha com a outra região de memória ou vice-versa”, informa o blog da Qualys.

Duas das falhas descobertas recentemente revelam problemas de corrupção de memória, enquanto a terceira expõe um problema de leitura fora do limite no systemd-journald, que pode permitir o vazamento de dados sensíveis da memória do processo em execução.

Os pesquisadores criaram com sucesso provas de conceito que verificam as vulnerabilidades, e planejam liberá-las em um futuro próximo, provavelmente após as falhas terem sido corrigidas e estas correções liberadas ao público.

“Nós desenvolvemos um exploit para a CVE-2018-16865 e a CVE-2018-16866 que obtém um shell local com  privilégios de administrador em 10 minutos em ambientes i386, e em 70 minutos em ambientes amd64, em média”, informaram os pesquisadores.

O CVE-2018-16864 é semelhante a uma vulnerabilidade Stack Clash que os pesquisadores da Qualys descobriram ainda em 2017, e que pode ser explorada por malware, ou por usuários com poucos privilégios, escalando suas permissões para o nível de administrador.

O Systemd não faz parte da distribuição Slackware Linux, que atualmente é disponibilizada em versão estável de número 14.2, mas que utiliza um sistema de inicialização compatível com o System V desde sua versão 7.0.

A recomendação aos usuários e administradores de sistemas, sendo estes afetados ou não pelas vulnerabilidades descobertas, é a de sempre acompanhar a disponibilização de atualizações de segurança, liberadas pela equipe de desenvolvimento do sistema operacional utilizado, ou administrado, e aplicar estas correções tão logo estejam disponíveis.

A realização de backups de segurança dos dados pessoais constantes nestes sistemas deve ser uma rotina, e evita que atualizações problemáticas, ou mesmo causas diversas, gerem a perda de dados.

Como complemento oferecido por um dos profissionais que acompanham o blog, Deiverson Silveira, segue o link para o comunicado oficial a respeito das vulnerabilidades, e publicado pelos pesquisadores da Qualys.