OpenBSD 7.9: dos fallos parcheados que permitían escalada local de privilegios

Hoy se hizo pública una cadena de explotación de privilegios local contra OpenBSD 7.9 que, según el informe publicado por la compañía de seguridad Calif, permite a un atacante elevarse a root explotando dos fallos corregidos en septiembre. Los parches para ambas fallas ya están disponibles y se distribuyeron como errata en septiembre; la primera (un desbordamiento entero en shmat(4)) fue corregida el 14 de septiembre como errata 018 y la segunda (un use-after-free en el recuento de referencias) se corrigió el 30 de septiembre como errata 026. Las correcciones están disponibles a través de syspatch y, de acuerdo con OpenBSD, cubren todas las arquitecturas. No hay, por ahora, un CVE asignado a ninguno de los dos fallos ni evidencia pública de uso en ataques dirigidos.

Hechos confirmados: el vector inicial es un desbordamiento entero en la función de adjunto de memoria compartida shmat(4), heredado de la definición original del kernel BSD para el contador de adjuntos shm_nattch como un short con signo de 16 bits (máximo 32.767). OpenBSD no amplió ese tipo y el exploit aprovecha que, creando suficientes segmentos de memoria compartida y muchos procesos, ese contador puede sobrepasar su límite y hacer que el valor envuelva a negativo. La segunda pieza de la cadena es un fallo en el recuento de referencias que deriva en un use-after-free. Calif publicó un análisis técnico y código de prueba de concepto tras la entrega de parches por parte de OpenBSD.

Cómo funciona la cadena — explicación técnica reconstruida a partir del informe: el atacante mapea decenas de segmentos de memoria compartida y crea numerosos procesos para inflar shm_nattch más allá de 32.767; cuando el contador envuelve, se crea una condición de carrera que puede hacer que el kernel libere objetos todavía usados por otros procesos. A partir de ahí, el exploit aprovecha además una escritura fuera de límites que modifica contadores de membresía multicast en estructuras del kernel. Cuando el socket afectado se cierra, las operaciones de decremento resultantes acaban leyendo o sobrescribiendo entradas de tablas de páginas, convertendo una página de usuario en accesible desde modo supervisor y, de ese modo, evadiendo las protecciones hardware SMAP y SMEP. Con la memoria kernel-mapeada en espacio supervisor, el exploit puede sobrescribir un puntero de función ubicado en una dirección de kernel que resulta predecible en esa máquina y ejecutar código con privilegios de kernel.

Importante: OpenBSD incluye KARL, un mecanismo de randomización que religa el binario del kernel para aleatorizar direcciones de funciones y datos. Sin embargo, según el investigador (Andrew Griffiths) citado por Calif, los asignadores de memoria del kernel permanecen deterministas: tanto el asignador de arranque como el best-fit colocan estructuras tempranas (incluyendo punteros usados por controladores de interfaz lo0 y enc0) en direcciones reproducibles en la misma máquina entre reinicios. Esa predictibilidad es lo que permite al exploit apuntar a un puntero de función sin requerir una vulnerabilidad adicional de divulgación de información.

Qué impactos reales puede tener esto: en sistemas vulnerables sin parches, un atacante con acceso local (es decir, capaz de ejecutar procesos en la máquina afectada) podría adquirir privilegios de root. Esto no es un exploit remoto: requiere ejecución local, por ejemplo acceso de usuario sin privilegios o la capacidad de ejecutar procesos en un contenedor o sesión. Por tanto afecta directamente a servidores o estaciones donde usuarios no completamente confiables tienen capacidad de ejecutar código, entornos multiusuario y servicios que conceden ejecución a procesos de terceros.

Confirmado versus estimado o incierto: es un hecho que los parches fueron liberados y que Calif publicó PoC. Es una estimación razonable (respaldada por la técnica explicada) que la cadena permite evadir SMAP/SMEP y obtener root en la configuración descrita; sin embargo, aún es incierto si esta cadena ha sido explotada en entornos reales antes de la corrección (no hay evidencia pública). Tampoco hay CVE asignado al momento de la publicación, lo que deja cierto grado de incertidumbre en la comunicación coordinada entre descubridor y coordinadores de CVE.

Medidas concretas que deben tomar los administradores y usuarios de OpenBSD ahora mismo: en primer lugar, actualizar y aplicar los errata publicados. OpenBSD ha distribuido las correcciones a través de syspatch; los administradores deben ejecutar syspatch y reiniciar los sistemas para que las correcciones del kernel tengan efecto. Puede consultarse la información de errata oficial y la herramienta syspatch en las páginas de OpenBSD: OpenBSD errata y man syspatch. Además, hasta aplicar los parches, los administradores deberían restringir el acceso local: limitar las cuentas con capacidad de ejecutar procesos, endurecer contenedores y compartimentos, y revisar configuraciones que permitan a usuarios no privilegiados crear grandes cantidades de segmentos de memoria compartida o procesos en masa.

Recomendaciones adicionales de seguridad operacional: realizar integridad y auditoría del sistema tras la actualización (comprobar binarios, registros de arranque y actividad anómala), rotar credenciales privilegiadas si hay sospecha de compromiso y considerar la segregación de servicios que aceptan código de terceros en hosts dedicados que puedan reiniciarse y actualizarse con más facilidad. Para entornos de alto riesgo, limitar o monitorizar el uso de memoria compartida por usuarios no confiables y emplear controles de acceso adicionales (por ejemplo, listas de control a nivel de aplicación).

Medidas de endurecimiento propuestas por el descubridor y su evaluación: Calif propone cuatro líneas de mitigación a más largo plazo: safe-unlinking para listas enlazadas en el kernel (ya usado en FreeBSD y NetBSD), randomización del mapeo autorreferencial de tablas de páginas, aleatorización del asignador de memoria del kernel y comprobaciones de límites por compilador. Estas propuestas atacan las causas estructurales del exploit: safe-unlinking reduce la eficacia de corrupciones de listas ligadas, la randomización del self-referential page-table y del asignador dificulta la predictibilidad de direcciones, y la comprobación de límites ayudaría a detectar errores de escritura fuera de rango o sobrepasos de contadores. Son soluciones arquitectónicas que requieren trabajo de implementación y validación y no sustituyen la corrección de errores puntuales, pero constituyen un plan de defensa en profundidad.

Qué vigilar en las próximas semanas: confirmación de CVE(s) asignados, actualizaciones adicionales de OpenBSD que mejoren la mitigación arquitectónica, y reportes de uso activo en el escenario salvaje. También será relevante la respuesta de la comunidad OpenBSD sobre las propuestas de endurecimiento de Calif y cualquier cambio en KARL o en los asignadores de memoria del kernel.

En resumen: si administras sistemas OpenBSD, aplica ya las erratas y reinicia. La cadena publicada demuestra una ruta técnica para escapar de protecciones hardware y obtener root a partir de vulnerabilidades locales, pero las correcciones ya están disponibles y su instalación es la acción más inmediata y efectiva. Mantén la reducción del acceso local como medida temporal mientras se estabilizan mejoras a más largo plazo en el núcleo del sistema.