Investigador de Google publica 14 vulnerabilidades que afectan a Linux mediante USB

Que ciertos sistemas operativos tengan mala fama a nivel de seguridad no justifica el sobreestimar lo ofrecido por otros. Andrey Konovalov, investigador en seguridad de Google, ha publicado un total de 14 vulnerabilidades halladas en el subsistema USB de Linux tras realizar pruebas de fuzzing.

Según ha comentado el mismo investigador a The Register, lo mostrado sería solo la punta del iceberg, ya que en total habría hallado alrededor de 40 vulnerabilidades en el componente mencionado en el párrafo anterior. Sin embargo, el hecho de que sean explotadas mediante los puertos USB hace que se requiera de acceso físico al ordenador, por lo que el escenario de ataque remoto queda descartado.

Al afectar estas vulnerabilidades al kernel Linux, están presentes en millones de dispositivos, no solo en las conocidas distribuciones Linux, sino también en Android, ChromeOS, dispositivos IoT e incluso sistemas de entretenimiento de los aviones, abriendo la puerta en la mayoría de los casos a ataques de denegación de servicio, aunque en otros es posible ejecutar código a nivel del kernel.

En ciertas discusiones online se ha planteado la posibilidad de poder ejecutar las vulnerabilidades de forma remota mediante la API WebUSB, pero Konovalov ha expresado su escepticismo sobre este escenario, argumentando que “esos 14 fallos que he encontrado son ejecutables de forma externa conectando dispositivos USB maliciosos, así que en este caso atacamos el kernel ‘desde el otro lado’. En teoría tendría que ser posible explotar la vulnerabilidad desde el propio dispositivo USB, y por lo tanto usar el dispositivo comprometido para ejecutar de forma externa un fallo hallado en el kernel (Linux).”

En resumidas cuentas, parece que estas vulnerabilidades no resultan sencillas de explotar al necesitar acceso físico al computador de la víctima, por lo que aquellas personas que no usan dispositivos USB fuera de su propio entorno no tendrían de qué preocuparse. Aun así, sería importante que fuesen corregidas cuanto antes.

Para terminar, pondremos la lista de las 14 vulnerabilidades publicadas por Konovalov:

• CVE-2017-16525
• CVE-2017-16526
• CVE-2017-16527
• CVE-2017-16528
• CVE-2017-16529
• CVE-2017-16530
• CVE-2017-16531
• CVE-2017-16532
• CVE-2017-16533
• CVE-2017-16534
• CVE-2017-16535
• CVE-2017-16536
• CVE-2017-16537
• CVE-2017-16538

via MuySeguridad