Últimamente no ha sido una época fácil para los administradores de sistemas. Muchos siguen lidiando con las consecuencias de las diversas vulnerabilidades de « Log4j » (se abre en una nueva pestaña), que han puesto patas arriba el mundo de las tecnologías de la información durante los últimos dos meses. Por desgracia, las malas noticias no dejan de sucederse. El último hallazgo es un fallo de seguridad fácil de explotar en un popular programa de Linux llamado pkexec.
Esta falla ha estado a la vista de todos durante los últimos 12 años o más. Afortunadamente, los investigadores que descubrieron el fallo han estado colaborando de forma proactiva con los proveedores y, en el momento del anuncio, casi todas las distribuciones principales ya contaban con correcciones en sus repositorios de origen.
Entonces, ¿de qué se trata?, ¿qué repercusiones podría tener en su organización y cómo puede ayudarle Tanium?
¿Qué es PwnKit?
A la vulnerabilidad (CVE-2021-4034) ya le han puesto un nombre pegadizo los investigadores del equipo « » de Qualys (se abre en una nueva pestaña) que la descubrieron: PwnKit. Esto se debe a que pkexec forma parte de un conjunto de herramientas a nivel de aplicación conocido como Polkit (antes PolicyKit).
Polkit se utiliza para permitir que los procesos sin privilegios se comuniquen con los procesos con privilegios en sistemas operativos de tipo Unix. Además, mediante pkexec, permite a los usuarios ejecutar comandos con privilegios elevados.
Hay varias razones por las que PwnKit resulta tan peligroso:
- La vulnerabilidad está presente en todas las versiones de Polkit a partir de la 2009 .
- Pkexec viene instalado de serie en todas las principales distribuciones de Linux
- Es fácil de explotar, y el código de explotación ya estaba disponible a las pocas horas de la divulgación pública.
- Esto podría permitir que un atacante obtuviera privilegios de root completos en un sistema afectado, lo que le permitiría causar graves daños
¿Por qué debería importarle?
PwnKit no se puede explotar de forma remota. Sin embargo, esta vulnerabilidad puede aprovecharse si un atacante inicia sesión primero en el sistema objetivo con derechos no privilegiados. Hoy en día, eso resulta bastante sencillo, ya sea aprovechando otro fallo de seguridad o utilizando credenciales de usuario filtradas o obtenidas mediante ataques de fuerza bruta.
Aprovechando PwnKit, un atacante puede entonces elevar sus privilegios hasta alcanzar el nivel de root. Con estos derechos de sistema, podrían sustraer datos de carácter altamente confidencial e instalar ransomware y otro tipo de malware en cualquier parte de su organización.
Si utiliza Ubuntu, Debian, Red Hat o CentOS, es muy probable que esté utilizando una versión vulnerable de pkexec. Se afirma que otras distribuciones de Linux son (se abre en una nueva pestaña) «probablemente vulnerables y susceptibles de ser explotadas», al igual que Solaris y otros sistemas operativos de tipo Unix.
Afortunadamente, ya hay parches disponibles, y , Debian (se abre en una nueva pestaña),, , , Ubuntu (se abre en una nueva pestaña),, y , así como Red Hat (se abre en una nueva pestaña),y , ya han publicado avisos al respecto. Se recomienda encarecidamente que aplique el parche CVE-2021-4034 (también conocido como PwnKit) lo antes posible. Si no hay parches disponibles, la eliminación del bit SUID de pkexec reducirá la vulnerabilidad, aunque puede afectar al funcionamiento del sistema; por lo tanto, debe considerarse una medida de mitigación de último recurso cuando no sea posible aplicar los parches a tiempo, y solo tras haber realizado pruebas exhaustivas.
¿Cómo puede ayudar Tanium?
Tanium puede proporcionarle la visibilidad y el control necesarios para detectar instancias vulnerables de pkexec, identificar indicios de explotación y solucionar el problema en todo su entorno informático. A continuación le explicamos cómo hacerlo:
Tanium Interact: (se abre en una nueva pestaña) Identifique instancias potencialmente vulnerables con la plataforma Tanium. Si no es posible aplicar el parche de inmediato, las organizaciones pueden probar y aplicar la medida de mitigación consistente en eliminar el bit SUID mientras se preparan para aplicar el parche adecuado.
Tanium Patch (se abre en una nueva pestaña): Aplique los parches según sea necesario a cualquier versión compatible de las distribuciones de Linux que se ejecuten en su entorno. Tanium Patch permite a las organizaciones aplicar parches con rapidez y a gran escala, independientemente del número de terminales que tengan en funcionamiento.
Tanium Comply: (se abre en una nueva pestaña) Realice un seguimiento de la reducción de la superficie de ataque de las vulnerabilidades a lo largo del tiempo para identificar su exposición al riesgo y al incumplimiento normativo.
Si desea saber cómo Tanium puede ayudarle a mitigar esta vulnerabilidad (se abre en una nueva pestaña) o cualquier otra, póngase en contacto con nosotros hoy mismo.
