Exploit para obtener privilegios de root en OpenBSD (fallo de memoria compartida con 37 años)
Segu-Info · 18 oct, 16:00
Se ha publicado un exploit de escalamiento de privilegios local en OpenBSD 7.9 que combina un desbordamiento de enteros de 37 años de antigüedad con una vulnerabilidad use-after-free para obtener acceso de root, eludiendo KARL, SMAP y SMEP. La firma Calif descubrió y notificó los fallos, publicando el exploit tras los parches de OpenBSD en septiembre (errata 018 y 026). Ambas vulnerabilidades carecen de CVE asignado y no hay evidencia de explotación en ataques reales.
El desbordamiento de enteros reside en la función `shmat(4)`, donde el contador de segmentos de memoria compartida `shm_nattch` está definido como un entero de 16 bits con signo heredado del código BSD original de 1988, con valor máximo de 32.767. El exploit asigna 127 segmentos y crea 259 procesos para provocar que el contador se desborde y reinicie en valores negativos (-32.643), corrompiendo la contabilidad del kernel.
Esta corrupción desencadena una condición de carrera que activa un use-after-free: el contador de referencias corrupto causa que el kernel libere memoria que otros procesos aún utilizan, permitiendo el acceso de root. OpenBSD lanzó la corrección del desbordamiento como errata 018 (fiabilidad, 14 de septiembre) y la del use-after-free como errata 026 (seguridad, 30 de septiembre). Ambas están disponibles vía `syspatch` para todas las arquitecturas. Calif propone cuatro categorías de endurecimiento: safe-unlinking para listas enlazadas del kernel (técnica de FreeBSD y NetBSD), aleatorización del mapeo autorreferencial de la tabla de páginas, y aleatorización de asignadores de memoria del kernel.
Puntos clave
- Desbordamiento de enteros de 16 bits en `shmat(4)` heredado desde BSD 1988
- Combinado con use-after-free en conteo de referencias para escalada de privilegios
- Errata 018 (14 sep) para enteros, errata 026 (30 sep) para use-after-free, disponibles vía syspatch
- Sin CVE asignado ni evidencia de explotación en ataques reales
- OpenBSD 7.8 y 7.9 afectados; endurecimiento propuesto con safe-unlinking y aleatorización