[ 138,829 page views, 51,342 usuários - média últimos 90 dias ] - [ 5.782 assinantes na newsletter, taxa de abertura 27% ]

Linux urgente: X.Org dá acesso a privilégio root

O popular pacote X.Org Server, utilizado em praticamente todas as distros Linux e Free BSD é vulnerável a uma nova tática divulgada ontem. A vulnerabilidade permite que um invasor com acesso a um sistema, por meio de um terminal ou sessão SSH, eleve privilégios e obtenha acesso à conta root. A vulnerabilidade não pode ser usada para invadir computadores seguros, mas ainda é útil para os invasores porque pode transformar intrusões simples em coisas bem ruins. Distribuições como Red Hat Enterprise Linux, Fedora, CentOS, Debian, Ubuntu e OpenBSD já foram confirmadas como impactadas, e outros projetos menores também são afetados.

Os desenvolvedores da X.Org Foundation já corrigiram o problema no X.Org Server 1.20.3. A correção desativa o suporte para esses dois argumentos de linha de comando ao pacote ser executado com privilégios de root.

[box]O pacote X.Org Server é um núcleo de gráficos e tecnologia de janelas e serve de base para os mais famosos conjuntos de interfaces de desktop, como o KDE e GNOME, encontrados em todos os principais pacotes Linux e Distribuições BSD que oferecem aos usuários uma interface baseada em janelas.[/box]

Um relatório do pesquisador de segurança Narendra Shinde informa que desde maio de 2016 o pacote X.Org Server continha essa vulnerabilidade, permitindo aos invasores elevar privilégios e / ou sobrescrever qualquer arquivo no sistema local, inclusive dados fundamentais do sistema. Esse problema, registrado como CVE-2018-14665, é causado pelo manuseio inadequado de duas opções de linha de comando: -logfile e -modulepath, que permitiam a um invasor inserir e executar suas próprias opções maliciosas. A falha foi explorada somente quando o X.Org Server foi configurado para rodar com privilégios de root.

As atualizações de segurança que contêm o pacote do X.Org Server corrigido devem ser implantadas nas próximas horas e dias. Código da prova de conceito também foi divulgado hoje por Matthew Hickey, cofundador e diretor da Hacker House, uma firma de segurança cibernética sediada no Reino Unido.

“Um atacante pode literalmente assumir sistemas impactados com trêes comandos ou menos”, disse Hickey no Twitter. “Muitas outras maneiras de explorar, por exemplo, crontab. É hilário o quanto é trivial”, disse o pesquisador. Veja abaixo imagem da prova de conceito :